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DECRETI E DELIBERE DI ALTRE AUTORITÀ 


GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


PROVVEDIMENTO 16 giugno 2004. 


Codice di deontologia e di buona condotta per i trattamenti di dati personali per scopi statistici 
e scientifici. (Provvedimento n. 2). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


Nella seduta odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. 
Giuseppe Santaniello, vice presidente, del prof. Gaetano Rasi e dél.dott. Mauro Paissan, 
componenti, e del dott. Giovanni Buttarelli, segretario generale; 


Visto l'art. 27 della direttiva n. 95/46/CE del Parlamento europeo e del Consiglio del 24 
ottobre 1995, secondo cui gli Stati membri e la Commissione incoraggiano l’elaborazione di 
codici di condotta destinati a contribuire, in funzione delle specificità settoriali, alla 
corretta applicazione delle disposizioni nazionali di attuazione della direttiva adottate dagli 
Stati membri; 


Visto l’art. 12 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, 
n. 196), il quale attribuisce al Garante il compito di promuovere nell’ambito delle categorie 
interessate, nell’osservanza del principio di rappresentatività e tenendo conto dei criteri 
direttivi delle raccomandazioni del Consiglio d'Éuropa sul trattamento dei dati personali, 
la sottoscrizione di codici di deontologia é di buona condotta per determinati settori, 
verificarne la conformità alle leggi e ai regolamenti anche attraverso l'esame di 
osservazioni di soggetti interessati e contribuire a garantirne la diffusione c il rispetto; 


Visto l’art. 106, comma 1, del Codice, ilhquale demanda al Garante il compito di promuovere 
la sottoscrizione di uno o più codici)di deontologia e di buona condotta per i soggetti 
pubblici e privati, ivi compresesle società scientifiche e le associazioni professionali, 
interessati al trattamento dei datixper scopi statistici o scientifici; 


Visto l’art. 106, comma 2, dellmedesimo Codice relativo a taluni profili che, sulla base di 
alcune garanzie, devono essere individuati dal codice di deontologia e di buona condotta 
per i trattamenti di dati per-scopi statistici e scientifici; 


Visto il provvedimenta\do febbraio 2000 del Garante per la protezione dei dati personali, 
pubblicato sulla Gazzetta Ufficiale della Repubblica italiana 25 febbraio 2000, n. 46, con il 
quale il Garante hapromosso la sottoscrizione di uno o più codici di deontologia e di buona 
condotta relativi. al trattamento di dati personali per scopi statistici e di ricerca scientifica 
ed ha invilalolulli i soggelli aventi lilolo a parlecipare all'adozione dei medesimi codici in 
base al principio di rappresentatività a darne comunicazione al Garante; 


Viste le ©omunicazioni pervenute al Garante in risposta al citato provvedimento del 10 
febbraio»2000, con le quali diversi soggetti pubblici e privati, società scientifiche ed 
associazioni professionali hanno manifestato la volontà di partecipare all'adozione dei 
codici e fra i quali è stato conseguentemente costituito un apposito gruppo di lavoro, 
composto, in particolare, da rappresentanti dei seguenti soggetti: Conferenza dei rettori 
delle università italiane; Associazione italiana di epidemiologia; Associazione italiana di 
sociologia; Consiglio italiano per le scienze sociali; Società italiana degli economisti; 
Società italiana di biometria; Società italiana di demografia storica; Società italiana di 
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igiene, medicina preventiva e sanità pubblica; Società italiana di statistica; Società italiana 
di statistica medica ed epidemiologia clinica; Associazione tra istituti di ricerche=di 
mercato, sondaggi di opinione, ricerca sociale; 


Considerato che il testo del codice è stato oggetto di ampia diffusione anche attraverso la 
sua pubblicazione sul sito Internet di questa Autorità, resa nota tramite avviso sulla 
Gazzetta Ufficiale della Repubblica italiana 20 maggio 2004, n. 117, al fine di favorire il più 
ampio dibattito e di permettere la raccolta di eventuali osservazioni e integrazioni al testo 
medesimo da parte di tutti i soggetti interessati; 


Viste le osservazioni pervenute secondo quanto disposto dal citato avviso; 


Rilevato che il rispetto delle disposizioni contenute nel codice di«kdeentologia e di buona 
condotta costituisce condizione essenziale per la liceità e la correttezza del trattamento dei 
dati personali effettuato da soggetti privati e pubblici (art. 12, comma 3, del Codice), 


Constatata la conformità del codice di deontologia e di buona condotta alle leggi e ai 
regolamenti in materia di protezione dei dati personali\7anche in relazione a quanto 
previsto dagli artt. 12 € 104 e seguenti del Codice, 

Considerato che, ai sensi dell'art. 12, comma 2, del Codice, il codice di deontologia e di 
buona condotta deve essere pubblicato nella Gazzett®Ufficiale della Repubblica italiana a 


cura del Garante e, con decreto del Ministro della‘\giustizia, riportato nell'Allegato A) al 
medesimo Codice; 


Vista la documentazione in atti; 

Viste le osservazioni formulate dal segretafio generale ai sensi dell'art. 15 del regolamento 
del Garante n. 1/2000, adottato con deliberazione n. 15 del 28 giugno 2000 e pubblicato 
nella Gazzetta Ufficiale della Repubblièa italiana n. 162 del 13 luglio 2000; 

Relatore il prof. Gaetano Rasi; 


DISPONE: 


la trasmissione del codite di deontologia e di buona condotta per i trattamenti di dati 
personali per scopi statistici e scientifici, che figura in allegato, all'Ufficio pubblicazione 
leggi e decreti del Ministero della giustizia per la sua pubblicazione nella Gazzetta Ufficiale 
della Repubblicé italiana, nonché al Ministro della giustizia per essere riportato 
nell'Allegato A}Yal Codice. 
Roma,}16 giugno 2004 
Il presidente: RODOTÀ 


Il relatore: RASI 


Il segretario generale: BUTTARELLI 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


CODICE DI DEONTOLOGIA E DI BUONA CONDOTTA 
PER I TRATTAMENTI DI DATI PERSONALI 
PER SCOPI STATISTICI E SCIENTIFICI 


sottoscritto da: 

— Conferenza dei rettori delle università italiane 

— Associazione italiana di epidemiologia 

— Associazione italiana di sociologia 

— Consiglio italiano per le scienze sociali 

— Società italiana degli economisti 

— Società italiana di biometria 

— Società italiana di demografia storica 

— Società italiana di igiene, medicina preventiva e sanità pubblica 
— Società italiana di statistica 

— Società italiana di statistica medica ed epidemiologia clinica 


— Associazione tra istituti di ricerche di mercato, sondaggi di opinione, ricerca sociale 
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PREAMBOLO 


I sottoindicati soggetti pubblici e privati sottoscrivono il presente codice, adottato sulla base di 
quanto previsto dall’art. 106 del decreto legislativo 30 giugno 2003, n. 196, recante al Codice in 
materia di protezione dei dati personali (di seguito denominato “decreto”), sulla basedelle seguenti 
premesse: 


1) Le disposizioni del presente codice di deontologia e di buona condotta sono velte ad assicurare 
l’equilibrio tra 1 diritti e le libertà fondamentali della persona, in particolare il diritto alla protezione 
dei dati personali e il diritto alla riservatezza, con le esigenze della statistica e della ricerca 
scientifica, quali risultano dal principio della libertà di ricerca costituzionalmente garantito, 
presupposto per lo sviluppo della scienza, per il miglioramento delle*eondizioni di vita degli 
individui e per la crescita di una società democratica; 


2) i ricercatori, singoli o associati, che operano nell’ambito di università, enti ed istituti di ricerca e 
società scientifiche, conformano al presente codice ogni fase del trattamenti di dati personali 
effettuati a fini statistici o scientifici, indipendentemente dalla ‘sottoscrizione del codice stesso da 
parte dei rispettivi enti e società scientifiche; 


3) nell’applicazione del presente codice, i soggetti chéxnéè sono destinatari osservano 1 princìpi 
contenuti nella Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà 
fondamentali del 1950, ratificata con legge 4 agosto 1955, n. 848, nella direttiva 95/46/CE del 
Parlamento europeo e del Consiglio dell’Unione è&uropea, nelle Raccomandazioni del Consiglio 
d'Europa n. R(83)10 adottata il 23 settembre del 1983 e n. R(97)18 adottata il 30 settembre 1997, 
nonché nelle altre disposizioni normative comumitarie e internazionali relative al trattamento dei dati 
personali a fini statistici e scientifici. Essi opefano nel rispetto dei princìpi di pertinenza e di non 
eccedenza, intesa come non ridondanza del ‘trattamento progettato rispetto agli scopi perseguiti, 
avuto riguardo ai dati disponibili ed ai trattamenti già effettuati dallo stesso titolare; 


4) per quanto non disciplinato nel‘presente codice, si applicano le disposizioni previste dalla 
normativa in materia di dati personali ‘anche in relazione alla natura pubblica o privata del soggetto 
titolare del trattamento (artt. 18 ess.ve 23 e s. del decreto). In particolare, 1 dati personali trattati per 
scopi statistici o scientifici non possono essere utilizzati per prendere decisioni o provvedimenti 
relativamente all’interessato, né per trattamenti di dati per scopi di altra natura; 


5) per trattamento per scopî statistici si intende qualsiasi trattamento effettuato per le finalità di 
indagine statistica o di produzione di risultati statistici, anche a mezzo di sistemi informativi 
statistici (art. 4 del decreto); 


6) per trattamentosper scopi scientifici si intende qualsiasi trattamento effettuato per le finalità di 
studio e di indagine sistematica finalizzata allo sviluppo delle conoscenze scientifiche in uno 
specifico settofe (art. 4 del decreto); 


7) gli enti e 1 soggetti che applicano il presente codice osservano il principio di imparzialità e di non 
discriminazione nei confronti degli altri soggetti che trattano i dati per scopi statistici o scientifici. 
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La sottoscrizione del presente codice è effettuata avendo riguardo, in particolare, alla rilevanza di 
tale principio in materia di comunicazione per scopi statistici o scientifici di dati depositati inarchivi 
pubblici o che sono stati trattati sulla base di finanziamenti pubblici; 


8) il decreto e il presente codice non si applicano ai dati anonimi; 


9) ai trattamenti finalizzati alla realizzazione di attività di informazione commerciale e di 
comunicazione commerciale, nonché alle correlate ricerche di mercato si applicané le disposizioni 
dei codici di deontologia e di buona condotta previsti dagli articoli 118 e 140 del decreto. 


Capo I . 
AMBITO DI APPLICAZIONE E PRINCIPI GENERALI 


Art. 1 
Definizioni 


1. Ai fini del presente codice si applicano le definizioni elencate nell’art. 4 del decreto con le 
seguenti integrazioni: 

a) “risultato statistico”, V’informazione ottenuta coni trattamento di dati personali per 
quantificare aspetti di un fenomeno collettivo; 

b) “unità statistica”, V entità alla quale sono riferiti o/tiferibili 1 dati trattati; 

c) “dato identificativo indiretto”, un insieme di medalità di caratteri associati o associabili ad 
una unità statistica che ne consente l’identificazione con l’uso di tempi e risorse ragionevoli, 
secondo 1 principi di cui all’art. 4; 

d) “variabile pubblica”, il carattere o la combinazione di caratteri, di tipo qualitativo o 
quantitativo, oggetto di una rilevazione/statistica che faccia riferimento ad informazioni 
presenti in pubblici registri, elenchi, atti, deeumenti o fonti conoscibili da chiunque; 

e) “istituto o ente di ricerca”, un organismo pubblico o privato per il quale la finalità di 
statistica 0 di ricerca scientifica risulta/dagli scopi dell’istituzione e la cui attività scientifica 
è documentabile; 

f) “società scientifica”, un'associazione’ che raccoglie gli studiosi di un ambito disciplinare, ivi 
comprese le relative associazioni\professionali. 


2. Salvo quando diversamente specificato, il riferimento a trattamenti per scopi statistici si intende 
comprensivo anche dei trattamenti per scopi scientifici. 


Art. 2 
Ambito di applicazione 


1. Il presente codice si@pplica all'insieme dei trattamenti effettuati per scopi statistici e scientifici 
—conformemente agli standard metodologici del pertinente settore disciplinare, di cui sono 
titolari università, \altri enti o istituti di ricerca e società scientifiche, nonché ricercatori che 
operano nell’ambito di dette università, enti, istituti di ricerca e soci di dette società scientifiche. 


2. Il presente codice non si applica ai trattamenti per scopi statistici e scientifici connessi con 
attività di tutela della salute svolte da esercenti professioni sanitarie od organismi sanitari, 
ovvero con” attività comparabili. in termini di significativa ricaduta personalizzata 
sull’interessato, che restano regolati dalle pertinenti disposizioni. 
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Art. 3 
Presupposti dei trattamenti 


1. La ricerca è effettuata sulla base di un progetto redatto conformemente agli. standard 
metodologici del pertinente settore disciplinare, anche al fine di documentare che it.trattamento 
sia effettuato per idonei ed effettivi scopi statistici o scientifici. 


2. Il progetto di ricerca di cui al comma 1, inoltre: 

a) specifica le misure da adottare nel trattamento di dati personali, al fine di/sarantire il rispetto 
del presente codice, nonché della normativa in materia di protezione der*dati personali; 

b) individua gli eventuali responsabili del trattamento; 

c) contiene una dichiarazione di impegno a conformarsi alle disposizioni del presente codice 
sottoscritta dai soggetti coinvolti. Un’analoga dichiarazione è settoscritta anche dai sog - 
getti- ricercatori, responsabili e incaricati del trattamento- che fossero coinvolti nel prosieguo 
della ricerca, e conservata conformemente a quanto previsto/al comma 3. 


3. Il titolare deposita il progetto presso l’università o ente di&ticerca 0 società scientifica cui 
afferisce, la quale ne cura la conservazione, in forma riservata (essendo la consultazione del 
progetto possibile ai soli fini dell’applicazione della normativa in materia di dati personali), per 
cinque anni dalla conclusione programmata della ricerca 


4. Nel trattamento di dati idonei a rivelare lo stato di salùte) i soggetti coinvolti osservano le regole 
di riservatezza e di sicurezza cui sono tenuti gli gSercenti le professioni sanitarie o regole di 
riservatezza e sicurezza comparabili. 


Att4 
Identificabilità dell’interessato 


1. Agli effetti dell’applicazione del presente codice: 

a) un interessato si ritiene identificabile quando, con l’impiego di mezzi ragionevoli, è possibile 
stabilire un’associazione significtativamente probabile tra la combinazione delle modalità 
delle variabili relative ad una unità statistica e i dati identificativi della medesima; 

b) i mezzi ragionevolmente utilizzabili per identificare un interessato afferiscono, in particolare, 
alle seguenti categorie: 

- risorse economiche; 

- risorse di tempo; 

- archivi nominativi o altre fonti di informazione contenenti dati identificativi 
congiuntamente ad'un sottoinsieme delle variabili oggetto di comunicazione o diffusione; 

- archivi, anchenoh nominativi, che forniscano ulteriori informazioni oltre quelle oggetto 
di comunicazione o diffusione; 

- risorse hardware e software per effettuare le elaborazioni necessarie per collegare 
informazioni non nominative ad un soggetto identificato, tenendo anche conto delle 
effettive possibilità di pervenire in modo illecito alla sua identificazione in rapporto ai 
sistemi(di sicurezza ed al software di controllo adottati; 

- conescenza delle procedure di estrazione campionaria, imputazione, correzione e 
protezione statistica adottate per la produzione dei dati; 
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c) in caso di comunicazione e di diffusione, l’interessato può ritenersi non identificabile se'1l 
rischio di identificazione, in termini di probabilità di identificare l'interessato stesso.tenendo 
conto dei dati comunicati o diffusi, è tale da far ritenere sproporzionati i,*mezzi 
eventualmente necessari per procedere all’identificazione rispetto alla lesione o al pericolo di 
lesione dei diritti degli interessati che può derivarne, avuto altresì riguardo al vafitaggio che 
se ne può trarre. 


Art. 5 
Criteri per la valutazione del rischio di identificazione 


1. Ai fini della comunicazione e diffusione di dati, la valutazione del/rischio di identificazione 
tiene conto dei seguenti criteri: 

a) si considerano dati aggregati le combinazioni di modalità alle quali’è associata una frequenza 
non inferiore a una soglia prestabilita, ovvero un'intensità data»dalla sintesi dei valori assunti 
da un numero di unità statistiche pari alla suddetta soglia «IH\yalore minimo attribuibile alla 
soglia è pari a tre; 

b) nel valutare il valore della soglia si deve tenere conto del livello di riservatezza delle 
informazioni; 

c) i risultati statistici relativi a sole variabili pubbliéite, non sono soggette alla regola della 
soglia; 

d) la regola della soglia può non essere osservata ‘qualora il risultato statistico non consenta 
ragionevolmente l’identificazione di unità statistîche, avuto riguardo al tipo di rilevazione e 
alla natura delle variabili associate; 

e) i risultati statistici relativi a una stessa popolazione possono essere diffusi in modo che non 
siano possibili collegamenti tra loro o coî altre fonti note di informazione, che rendano 
possibili eventuali identificazioni; 

f) si presume adeguatamente tutelata la riservatezza nel caso in cul tutte le unità statistiche di 
una popolazione presentano la medesima modalità di una variabile. 


Capo II 
INFORMATIVA, COMUNICAZIONE E DIFFUSIONE 


Art. 6 
Informativa 


1. Nella raccolta di datiper uno scopo statistico, nell’ambito delle informazioni di cui all’art. 13 
del decreto è rappresentata all’interessato l’eventualità che i dati personali possono essere 
conservati e trattati” per altri scopi statistici o scientifici, per quanto noto adeguatamente 
specificati anche»con riguardo alle categorie di soggetti ai quali i dati potranno essere 
comunicati. 


2. Nella raccolta di dati per uno scopo statistico, l’informativa alla persona presso la quale i dati 
sono raccolti può essere differita per la parte riguardante le specifiche finalità e le modalità del 
trattamento cui sono destinati i dati, qualora ciò risulti necessario per il raggiungimento 
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dell’obiettivo dell’indagine —in relazione all’argomento o alla natura della stessa=%€ /l 
trattamento non riguardi dati sensibili o giudiziari. In tali casi, l'informativa all’interessato è 
completata non appena cessano 1 motivi che ne avevano ritardato la comunicazione, a méno che 
ciò risulti irragionevole o comporti un impiego di mezzi manifestamente sproporzionato. Il 
soggetto responsabile della ricerca redige un documento —successivamente conservato per tre 
anni dalla conclusione della raccolta e reso disponibile agli interessati che esergitàno 1 diritti di 
cui all’art. 7 del decreto—, in cul sono indicate le specifiche motivazioni per le-quali si è ritenuto 
di differire l’informativa, la parte di informativa differita, nonché le modalità seguite per 
informare gli interessati quando sono venuti meno i motivi che avevano giustificato il 
differimento, ovvero le ragioni portate per il mancato completamento dell'informativa. 


3. Quando, con riferimento a parametri scientificamente attendibili, gli obiettivi dell’indagine, la 
natura dei dati e le circostanze della raccolta sono tali da consentire-àd.un soggetto di rispondere 
in nome e per conto di un altro in quanto familiare o convivente,N’informativa all’interessato 
può essere data per il tramite del soggetto rispondente, purché.ilstrattamento non riguardi dati 
sensibili o giudiziari. 

4. Quando 1 dati sono raccolti presso terzi, ovvero il trattamento effettuato per scopi statistici o 
scientifici riguarda dati raccolti per altri scopi, e<l*nformativa comporta uno sforzo 
sproporzionato rispetto al diritto tutelato, il titolare adotta forme di pubblicità con le seguenti 
modalità: 

- per trattamenti riguardanti insiemi numerosi<di )soggetti distribuiti sull’intero territorio 
nazionale, inserzione su almeno un quotidiano)di larga diffusione nazionale o annuncio 
presso un’emittente radiotelevisiva a diffusi6nernazionale; 

- per trattamenti riguardanti insiemi numefosi’di soggetti distribuiti su un’area regionale (0 
provinciale), inserzione su un quotidiano”di larga diffusione regionale (o provinciale) o 
annuncio presso un'emittente radiotelevisiva a diffusione regionale (0 provinciale); 

- per trattamenti riguardanti insiemi di specifiche categorie di soggetti, identificate da 
particolari caratteristiche demografiche e/o da particolari condizioni formative © 
occupazionali o analoghe, insefzione in strumenti informativi di cui gli interessati sono 
normalmente destinatari. 

Della modalità di pubblicità adottata, il titolare dà preventiva informazione al Garante. 


5. Qualora il titolare ritenga di non utilizzare le forme di pubblicità di cui al comma 4, anche in 
considerazione della natura dei dati raccolti o delle modalità del trattamento, ovvero degli oneri 
che comportano rispetto alttipo di ricerca svolta, il titolare medesimo può individuare idonee 
forme di pubblicità da\tomunicare preventivamente al Garante, il quale può, in ogni caso, 
prescrivere eventualimisure ed accorgimenti. 


Art. 7 
Consenso 


1. Il trattamentoper scopi statistici o scientifici può essere effettuato da un soggetto privato senza il 
consenso<dell’interessato qualora non riguardi dati sensibili o giudiziari e l’informativa ai sensi 
dell’artA13 ‘del decreto, nella parte riguardante la natura obbligatoria o meno del conferimento 
dei dati, evidenzi in dettaglio e specificamente le ragioni per le quali il conferimento è 
facoltativo. 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


Art. 8 
Comunicazione e diffusione dei dati 


1. È consentito diffondere anche mediante pubblicazione risultati statistici soltanté.in forma 
aggregata ovvero secondo modalità che non rendano identificabili gli interessati neppùre tramite 
dati identificativi indiretti, salvo che la diffusione riguardi variabili pubbliche. 


2. 1 dati personali trattati per un determinato scopo statistico possono essere comùmicati, privi di 
dati identificativi, a un’università o istituto o ente di ricerca o a un ricercatore per altri scopi 
statistici chiaramente determinati per iscritto nella richiesta dei dati. Il soggetto richiedente, nel 
predisporre il pertinente progetto di ricerca ai sensi dell’art. 3, si impegna a non effettuare 
trattamenti per fini diversi da quelli indicati nella richiesta e a non comunicare ulteriormente i 
dati a terzi; allega inoltre al progetto copia della richiesta di comunicazione. Il soggetto 
richiesto, titolare del trattamento originario, deposita la richiesta di comunicazione e il connesso 
progetto presso l'università o ente di ricerca o società scientifica(cu afferisce, la quale ne cura la 
conservazione, in forma riservata, per cinque anni dalla conclusione programmata della ricerca. 


3. Nel caso in cui il richiedente dichiari che non è possibile conseguire altrimenti il risultato 
statistico di interesse, dandone espressa motivazione (nella richiesta di cui al procedente 
comma 2, è consentita anche la comunicazione dei dati’identificativi. Il soggetto richiesto, 
valutata la motivazione, fornisce 1 dati nel rispetto. del principio di pertinenza e di stretta 
necessità. Resta fermo quanto previsto dall’art. 9. 


4. Le disposizioni di cui ai commi 2 e 3 si applicano anche alla comunicazione, e al conseguente 
trasferimento anche temporaneo, di dati persenali a università o istituti o enti di ricerca © 
ricercatori residenti in un Paese appartenentè all’ Unione europea o il cui ordinamento assicuri 
comunque un livello di tutela delle persone adeguato. 


5. Quando il trattamento per un determinato scopo statistico comporta il trasferimento anche 
temporaneo dei dati personali in un Paese, non appartenente all'Unione europea, il cui 
ordinamento non assicura un livelloyvdi tutela delle persone adeguato, il trasferimento è 
consentito sulla base di garanzie perni diritti dell’interessato comparabili a quelle del presente 
codice, prestate dall’ente o dalaqicèrcatore destinatario del trasferimento medesimo tramite un 
contratto redatto secondo una,tipologia autorizzata dal Garante ai sensi dell’art. 40 del decreto, 
anche su proposta di enti e società scientifiche. 


Art. 9 
Trattamento dei dati sensibili o giudiziari 


1. I dati sensibili o Wiudiziari trattati per scopi statistici e scientifici devono essere di regola in 
forma anonima/ 


2. Quando gli scopi statistici e scientifici, legittimi e specifici, del trattamento di dati sensibili o 
giudiziari ho possono essere raggiunti senza l’identificazione anche temporanea degli 
interessati41 titolare adotta specifiche misure per mantenere separati i dati identificativi già al 
mometfte della raccolta, salvo ciò risulti impossibile in ragione delle particolari caratteristiche 
del trattamento o richieda un impiego di mezzi manifestamente sproporzionato. 
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3. Quando 1 dati di cui al comma | sono contenuti in elenchi, registri o banche dati tenutixcon 
l’ausilio di strumenti elettronici, sono trattati con tecniche di cifratura o mediante l’utilizzazione 
di codici identificativi o di altre soluzioni che, considerato il numero e la natura dei dati trattati, 
li rendono temporaneamente non intelligibili anche a chi è autorizzato ad accedervi e 
permettono di identificare gli interessati solo in caso di necessità. 


4. 1 soggetti di cui all’art. 2, comma 1, aventi natura privata possono trattare dati sensibili per scopi 
statistici e scientifici quando: 

a) l'interessato ha espresso liberamente il proprio consenso sulla base deglivelementi previsti 
per l'informativa; 

b) il consenso è manifestato per iscritto. Quando la raccolta dei dati sensibili è effettuata con 
modalità —quali interviste telefoniche o assistite da elaboratoré o’similil che rendono 
particolarmente gravoso per l’indagine acquisirlo per iscritto, il‘eofisenso, purché esplicito, 
può essere documentato per iscritto. In tal caso, la documentazione dell’informativa resa 
all’interessato e dell’acquisizione del relativo consenso è conservata dal titolare del 
trattamento per tre anni; 

c) il trattamento risulti preventivamente autorizzato dal Garante, a seguito di specifica richiesta 
ai sensi dell’art. 26, comma 1, del decreto ovvero sulla base di un’autorizzazione generale 
relativa a determinate categorie di titolari o di trattamenti, rilasciata ai sensi dell’art. 40 del 
decreto, anche su proposta di enti e società scientifiche. 


5. Il trattamento di dati giudiziari da parte dei soggetti di cui all’art. 2, comma 1, aventi natura 
privata è consentito soltanto se autorizzato da espressa disposizione di legge o provvedimento 
del Garante emanato ai sensi dell’art. 27 del decreto: 


6. 1 soggetti cui all’art. 2, comma 1, aventi (natura pubblica possono trattare dati sensibili o 
giudiziari: 

a) per scopi scientifici, nel rispetto dell’aft. 22 del decreto, qualora provvedano con atto di 
natura regolamentare ad individuare e rendere pubblici 1 tipi di dati e di operazioni 
strettamente pertinenti e necessarièyin relazione alle finalità perseguite nei singoli casi, 
aggiornando tale individuazione»periodicamente, secondo quanto previsto dall’art. 20, 
commi 2 e 4, del decreto: 

b) per scopi statistici, nel rispetto dell’art. 22 del decreto, qualora siano soddisfatte le condizioni 
di cui all’art. 20, commi 2; 3,84 del decreto medesimo. 


Art. 10 
Dati genetici 


1. Il trattamento di dati gènetici è consentito nei soli casi e modi previsti da apposita autorizzazione 
del Garante ai sensidell’art. 90 del decreto. 
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Art. 11 
Disposizioni particolari per la ricerca medica, biomedica ed epidemiologica 


1. La ricerca medica, biomedica ed epidemiologica è sottoposta all’applicazione del\presente 
codice nei limiti di cui all’art. 2, comma 2. 


2. La ricerca di cui al comma 1 si svolge nel rispetto degli orientamenti e delle )disposizioni 
internazionali e comunitarie in materia, quali la Convenzione sui diritti dell’uomo e sulla 
biomedicina del 4 aprile 1997, ratificata con legge 28 marzo 2001, n. 145, la Raccomandazione 
del Consiglio d'Europa n. R(97)5 adottata il 13 febbraio 1997 relativa alla‘pfotezione dei dati 
sanitari e la dichiarazione di Helsinki dell’ Associazione medica mondiale sui principi per la 
ricerca che coinvolge soggetti umani. 


3. Nella ricerca di cui al comma 1, l’informativa mette in grado gli-interessati di distinguere le 
attività di ricerca da quelle di tutela della salute. 


4. Nel manifestare il proprio consenso ad un’indagine medica o. epidemiologica, all’interessato è 
richiesto di dichiarare se vuole conoscere o meno eventuali scoperte inattese che emergano a 
suo carico durante la ricerca. In caso positivo, l’interessato.è nformato secondo quanto previsto 
dall’art. 84 del decreto. Quando, per 1 motivi di cui al succèssivo comma 5, il consenso non può 
essere richiesto, tali eventi sono comunque comunicati all'interessato nel rispetto dell’art. 84 del 
decreto qualora rivestano un’importanza rilevante perda tutela della salute dello stesso. 


5. Nella ricerca di cui al comma 1, il consenso dell’anteressato non è necessario quando, ai sensi 
dell’art. 110 del decreto, sono soddisfatti 1 seguenti téquisiti: 

a) non è possibile informare l’interessato per\motivi etici (ignoranza dell’interessato sulla 
propria condizione), ovvero per motivi\metodologici (necessità di non comunicare al 
soggetto le ipotesi dello studio o la sua posizione di elezione), ovvero per motivi di 
impossibilità organizzativa; 

b) il programma di ricerca è stato oggetto di motivato parere favorevole del competente 
comitato etico; 

c) il trattamento è autorizzato dal Garante, anche ai sensi dell’art. 40 del decreto anche su 
proposta di enti e società scientifiche pertinenti. 


Art. 12 
Attività di controllo 


1. Le università, gli altritistituti o enti di ricerca e le società scientifiche conservano la 
documentazione relativa\ai progetti di ricerca presentati e agli impegni sottoscritti dai ricercatori 
ai sensi dell’art. 3, commi 1 e 2, e dell’art. 8, comma 2 del presente codice. 


2. Gli enti di cui al comma 1: 

a) assicuranoCla diffusione e il rispetto del presente codice fra tutti coloro che, all’interno © 
all’esterno dell’organizzazione, sono in qualunque forma coinvolti nel trattamento dei dati 
personali realizzato nell’ambito delle ricerche, anche adottando opportune misure sulla base 
dei propri statuti e regolamenti; 

b) segnalano al Garante le violazioni del codice di cui vengono a conoscenza. 
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Capo HI 
SICUREZZA E REGOLE DI CONDOTTA 


Art. 13 
Raccolta dei dati 


1. I soggetti di cui all’art. 2, comma 1, pongono specifica attenzione nella selezione del personale 
incaricato della raccolta dei dati e nella definizione dell’organizzazione e“delle modalità di 
rilevazione, in modo da garantire il rispetto del presente codice e la tutela dei diritti degli 
interessati. 


2. Il personale incaricato della raccolta si attiene alle disposizioni contenute’ nel presente codice e 
alle istruzioni ricevute. In particolare: 

a) rende nota la propria identità, la propria funzione e le finalità della raccolta, anche attraverso 
adeguata documentazione; 

b) fornisce le informazioni di cui all’art. 13 del decreto ed all’art/6 del presente codice, nonché 
ogni altro chiarimento che consenta all’interessato di+rispondere in modo adeguato e 
consapevole, evitando comportamenti che possano c@nfigurarsi come artifici ed indebite 
pressioni; 

c) non svolge contestualmente presso gli stessi interessati attività di rilevazione di dati personali 
per conto di più titolari, salvo espressa autorizzazione; 

d) provvede tempestivamente alla correzione degli erfori e delle inesattezze delle informazioni 
acquisite nel corso della raccolta; 

e) assicura una particolare diligenza nella raccolta di dati sensibili o giudiziari. 


Art. 14 
Conservazione dei dati 


1. I dati personali possono essere conservati per scopi statistici o scientifici anche oltre il periodo 
necessario per il raggiungimento degli scopi per 1 quali sono stati raccolti o successivamente 
trattati, in conformità all’art. 99°det decreto. In tali casi, i dati identificativi possono essere 
conservati fino a quando risultino necessari per: 

a) indagini continue e longitudinali; 

b) indagini di controllo, diqualità e di copertura; 

c) definizione di disegni campionari e selezione di unità di rilevazione; 

d) costituzione di archivisdelle unità statistiche e di sistemi informativi; 

e) altri casi in cui ciòTisulti essenziale e adesuatamente documentato per le finalità perseguite. 


2. Nei casi di cui al comma 1, 1 dati identificativi sono conservati separatamente da ogni altro dato, 
in modo da conséèntirne differenti livelli di accesso, salvo ciò risulti impossibile in ragione delle 
particolari caratteristiche del trattamento o comporti un impiego di mezzi manifestamente 
sproporzionato rispetto al diritto tutelato. 
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Art. 15 
Misure di sicurezza 


1. Nell’adottare le misure di sicurezza dei dati e dei sistemi di cui agli artt. 31 e seguenti del 
decreto e al disciplinare tecnico contenuto nel relativo Allegato B), 1 titolari dei ttattamenti di 
dati per scopi statistici curano anche i livelli di accesso ai dati personali con riferimento alla 
natura dei dati stessi ed alle funzioni dei soggetti coinvolti nei trattamenti. 


Art. 16 
Esercizio dei diritti dell’interessato 


1. In caso di esercizio dei diritti di cui all’art. 7 del decreto in riferimerito a dati trattati per scopi 
statistici e scientifici, l’interessato può accedere agli archivi che l'oxfiguardano per chiederne 
l'aggiornamento, la rettifica o l'integrazione, sempre che tale operazione non risulti impossibile 
per la natura o lo stato del trattamento o comporti un impfego di mezzi manifestamente 
sproporzionato. 


2. Qualora tali modifiche non producano effetti significativivsui risultati statistici connessi al 
trattamento, il responsabile del trattamento provvede ad annotare, in appositi spazi o registri, le 
modifiche richieste dall’interessato, senza variare i datiOtiginariamente immessi nell’archivio. 


Art, 17 
Regole di condotta 


1. I responsabili e gli incaricati del trattamento) che, per motivi di lavoro e ricerca, abbiano 
legittimo accesso ai dati personali trattati per scopi statistici e scientifici, conformano il proprio 
comportamento anche alle seguenti disposizioni: 

a) i dati personali possono essere utilizzati soltanto per gli scopi definiti nel progetto di ricerca 
di cui all’art. 3; 

b) 1 dati personali devono essere conservati in modo da evitarne la dispersione, la sottrazione e 
ogni altro uso non conforme allategge e alle istruzioni ricevute; 

c) 1 dati personali e le notizie) non disponibili al pubblico di cui si venga a conoscenza in 
occasione dello svolgimento dell’attività statistica o di attività ad essa strumentali non 
possono essere diffusi, né altrimenti utilizzati per interessi privati, propri o altrui; 

d) il lavoro svolto è ogsetto.di adeguata documentazione, 

e) le conoscenze professionali in materia di protezione dei dati personali sono adeguate 
costantemente all’evoluzione delle metodologie e delle tecniche; 

f) la comunicazione € la diffusione dei risultati statistici sono favorite, in relazione alle 
esigenze conoscitive della comunità scientifica e dell’opinione pubblica, nel rispetto della 
disciplina sulla protezione dei dati personali; 

g) 1 comportàmenti non conformi alle regole di condotta dettate dal presente codice sono 
immediatamente segnalati al responsabile o al titolare del trattamento. 
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Art. 18 
Adeguamento 


1. La corrispondenza delle disposizioni del codice alla normativa, anche di4&.càrattere 
internazionale, introdotta in materia di protezione dei dati personali trattati a fini di statistica e di 
ricerca scientifica è verificata nel tempo anche su segnalazione dei soggetti-che lo hanno 
sottoscritto. Ciò ai fini dell’introduzione nel codice medesimo delle modifiche necessarie al fine 
del coordinamento con dette fonti, ovvero, qualora tali modifiche incidano in maniera 
apprezzabile sulla disciplina del presente codice, del pronunciamento diun, nuovo codice ai 
sensi dell’art. 12 del decreto. 


Art, 19 


Entrata in vigore 


1. Il presente codice si applica a decorrere dal 1° ottobre 2004. 


_— 16 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati sensibili nei rapporti di lavoro. (Autorizzazione n. 1/2003). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei 
dati personali: 


Visto, in particolare, l’art. 4, comma 1, lett. d), del citato Codice il quale individua i dati 
sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del Codice, i-soggetti privati e gli enti pubblici 
economici possono trattare 1 dati sensibili solo previa autorizzazione di questa Autorità e, ove 
necessario, con il consenso scritto degli interessati, nell’osservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti; 


Visto il comma 4, lett. d), del medesimo art. 26, il‘quale stabilisce che i dati sensibili possono 
essere oggetto di trattamento anche senza consenso, previa autorizzazione del Garante, quando il 
trattamento medesimo è necessario per adempiere a specifici obblighi o compiti previsti dalla legge, 
da un regolamento o dalla normativa comunitaria per la gestione del rapporto di lavoro, anche in 
materia di igiene e sicurezza del lavoro e della popolazione e di previdenza e assistenza, nei limiti 
previsti dall’autorizzazione e ferme restando le disposizioni del codice di deontologia e di buona 
condotta di cui all’art. 111 del Codice; 


Considerato che il trattamento dei .dati/in questione può essere autorizzato dal Garante anche 
d’ufficio con provvedimenti di carattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice), 


Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per prescrivere misure uniformi a garanzia degli interessati, rendendo altresì 
superflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportune»dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi dell’aft. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi, in 
relazione all'afase di prima applicazione delle nuove disposizioni del Codice e ai lavori avviati per 
l’adozione. del codice di deontologia e buona condotta di cui all’art. 111 del Codice; 


Gonsiderata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 
di(danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
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nonché per la dignità delle persone, e, in particolare, per il diritto alla protezione dei dati personali 
sancito all’art. 1 del Codice; 


Considerato che un elevato numero di trattamenti di dati sensibili è effettuato nell’ambito dei 
rapporti di lavoro; 


Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattatifin violazione della 
disciplina rilevante in materia di trattamento di dati personali non possono esseretilizzati; 


Visti gli articoli 31 e seguenti del Codice e il disciplinare tecnico Qi cui all’ Allegato B) al 
medesimo Codice recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice: 
Visti gli atti d'ufficio; 


Viste le osservazioni dell’Ufficio formulate dal segretario ‘generale ai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore il prof. Stefano Rodotà; 
Autorizza 


il trattamento dei dati sensibili di cui all’art.,4, comma 1, lett. d), del Codice, finalizzato alla 
gestione dei rapporti di lavoro, secondo le prescfizioni di seguito indicate. 


Prima di iniziare o proseguire il trattamento i sistemi informativi e 1 programmi informatici sono 
configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da 
escluderne il trattamento quando lecfinalità perseguite nei singoli casi possono essere realizzate 
mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di necessitàyin conformità all’art. 3 del Codice. 


1) Ambito di applicazione. 

La presente autorizzazione è rilasciata: 

a) alle persone fisiche e giuridiche, alle imprese, agli enti, alle associazioni e agli organismi 
che sono parté di un rapporto di lavoro o che utilizzano prestazioni lavorative anche 
atipiche parziali o temporanee, o che comunque conferiscono un incarico professionale 
alle figure indicate al successivo punto 2, lett. b) e c); 

b) ad/organismi paritetici o che gestiscono osservatori in materia di lavoro, previsti dalla 
normativa comunitaria, dalle leggi, dai regolamenti o dai contratti collettivi anche 
aziendali; 


l’autorizzazione riguarda anche l’attività svolta: 


ce) dal medico competente in materia di igiene e di sicurezza del lavoro, in qualità di libero 
professionista o di dipendente dei soggetti di cui alla lettera a) o di strutture convenzionate; 
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d) da associazioni, organizzazioni, federazioni o confederazioni rappresentative di categorie 
di datori di lavoro, al solo fine di perseguire le finalità di cui al punto 3), lett. h). 


2) Interessati ai quali i dati si riferiscono. 
Il trattamento può riguardare i dati sensibili attinenti: 


a) alavoratori dipendenti, anche se prestatori di lavoro temporaneo o in, rapporto di tirocinio, 
apprendistato e formazione e lavoro, ovvero ad associati anche in compartecipazione e, se 
necessario in base ai punti 3) e 4), ai relativi familiari e conviventi; 


b) aconsulentiealiberi professionisti, ad agenti, rappresentanti emandatari; 


c) a soggetti che effettuano prestazioni coordinate e continuative o ad altri lavoratori 
autonomi in rapporto di collaborazione con i soggetti di cùÒ»al punto 1), 


d) a candidati all’instaurazione dei rapporti di lavoro di/@ui ‘alle lettere precedenti; 


e) a persone fisiche che ricoprono cariche sociali/o-altri incarichi nelle persone giuridiche, 
negli enti, nelle associazioni e negli organismi di cùi al punto 1); 


f) a terzi danneggiati nell’esercizio dell’attività.lavorativa o professionale dai soggetti di cui 
alle precedenti lettere. 


3) Finalità del trattamento. 
Il trattamento dei dati sensibili deve essere)indispensabile: 


a) per adempiere o per esigere‘*adempimento di specifici obblighi o per eseguire specifici 
compiti previsti dalla normativa comunitaria, da leggi, da regolamenti o da contratti 
collettivi anche aziendali, in particolare ai fini dell’instaurazione, gestione ed estinzione 
del rapporto di lavoro, ernché dell’applicazione della normativa in materia di previdenza 
ed assistenza anche integrativa, o in materia di igiene e sicurezza del lavoro o della 
popolazione, nonché.in materia fiscale, sindacale, di tutela della salute, dell’ordine e della 
sicurezza pubblica; 


b) © anche fuori dercasi di cui alla lettera a), in conformità alla legge e per scopi determinati e 
legittimi, ai fini della tenuta della contabilità o della corresponsione di stipendi, assegni, 
premi, altrisemolumenti, liberalità o benefici accessori; 


C) per perseguire finalità di salvaguardia della vita o dell’incolumità fisica dell’interessato o 
di un.terzo; 


d) «pér far valere o difendere un diritto anche da parte di un terzo in sede giudiziaria, nonché 
in sede amministrativa o nelle procedure di arbitrato e di conciliazione nei casi previsti 
dalle leggi, dalla normativa comunitaria, dai regolamenti o dai contratti collettivi, sempre 
che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente 
necessario al loro perseguimento. Qualora i dati siano idonei a rivelare lo stato di salute e 
la vita sessuale, il diritto da far valere o difendere deve essere di rango pari a quello 


— 19 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


dell’interessato, ovvero consistente in un diritto della personalità o in un altro diritto o 
libertà fondamentale e inviolabile; 


e) per esercitare il diritto di accesso ai documenti amministrativi, nel rispetto,di quanto 
stabilito dalle leggi e dai regolamenti in materia; 


Î) per adempiere ad obblighi derivanti da contratti di assicurazione finalizzati alla copertura 
dei rischi connessi alla responsabilità del datore di lavoro in materia di igiene e di 
sicurezza del lavoro e di malattie professionali o per i danni cagionati &terzi nell’esercizio 
dell’attività lavorativa o professionale; 


g) per garantire le pari opportunità; 


h) per perseguire scopi determinati e legittimi individuati “dagli statuti di associazioni, 
organizzazioni, federazioni o confederazioni rappresefìtative di categorie di datori di 
lavoro o dai contratti collettivi, in materia di assistenzaxsindacale ai datori di lavoro. 


4) Categorie di dati. 


Il trattamento può avere per oggetto i dati strettamente pertinenti ai sopra indicati obblighi, 
compiti o finalità che non possano essere adempiuti,'o realizzati, caso per caso, mediante il 
trattamento di dati anonimi o di dati personali di natura‘diversa, e in particolare: 


a) nell’ambito dei dati idonei a rivelare le Cefivinzioni religiose, filosofiche o di altro genere, 
ovvero l’adesione ad associazioni od organizzazioni a carattere religioso o filosofico, i dati 
concernenti la fruizione di permessi € festività religiose o di servizi di mensa, nonché la 
manifestazione, nei casi previsti dallà legge, dell’obiezione di coscienza; 


b) nell’ambito dei dati idonei a fiyelare le opinioni politiche, l'adesione a partiti, sindacati, 
associazioni od organizzazioniva carattere politico o sindacale, i dati concernenti l’esercizio 
di funzioni pubbliche e di.incarichi politici, di attività o di incarichi sindacali (sempre che 
il trattamento sia effettuato ai fini della fruizione di permessi o di periodi di aspettativa 
riconosciuti dalla legge 6, eventualmente, dai contratti collettivi anche aziendali), ovvero 
l’organizzazione di-pubbliche iniziative, nonché i dati inerenti alle trattenute per il 
versamento delle quote di servizio sindacale o delle quote di iscrizione ad associazioni od 
organizzazioni politiche o sindacali; 


c) = nell’ambito dei dati idonei a rivelare lo stato di salute, i dati raccolti e ulteriormente trattati 
in riferimento a invalidità, infermità, gravidanza, puerperio o allattamento, ad infortuni, ad 
esposizioni a fattori di rischio, all’idoneità psico-fisica a svolgere determinate mansioni, 
all’appartenenza a determinate categorie protette, nonché i dati contenuti nella 
certificazione sanitaria attestante lo stato di malattia, anche professionale dell’interessato, o 
comunque relativi anche all’indicazione della malattia come specifica causa di assenza del 
lavoratore. 


5) Modalità di trattamento. 
Fermi restando gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagli articoli 31 e 
seguenti del Codice e dall’ Allegato B) al medesimo Codice, il trattamento dei dati sensibili deve 


essere effettuato unicamente con operazioni, nonché con logiche e mediante forme di 
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organizzazione dei dati strettamente indispensabili in rapporto ai sopra indicati obblighi, compiti o 
finalità. 


I dati sono raccolti, di regola, presso l’interessato. 


La comunicazione di dati all’interessato deve avvenire di regola direttamente a quest’ultimo o a 
un suo delegato (fermo restando quanto previsto dall’art. 84, comma 1, del Codice), in plico chiuso 
o con altro mezzo idoneo a prevenire la conoscenza da parte di soggetti nofixaùtorizzati, anche 
attraverso la previsione di distanze di cortesia. 


Restano inoltre fermi gli obblighi di informare l’interessato e, ove necéèssario, di acquisirne il 
consenso scritto, in conformità a quanto previsto dagli articoli 13, 23 e 26del Codice. 


6) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e), del Codice, i dati 
sensibili possono essere conservati per un periodo non supertoré,a quello necessario per adempiere 
agli obblighi o ai compiti di cui al punto 3), ovvero per perseguire le finalità ivi menzionate. A tal 
fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, 
non eccedenza e indispensabilità dei dati rispetto al rapporto; alla prestazione o all’incarico in corso, 
da instaurare o cessati, anche con riferimento ai dati che Vinteressato fornisce di propria iniziativa. I 
dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili 
non possono essere utilizzati, salvo che per l’eventualé conservazione, a norma di legge, dell’atto o 
del documento che li contiene. Specifica attenzione è prestata per l’indispensabilità dei dati riferiti a 
soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e gli adempimenti. 


7) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati e, ove necessario diffusi, nei limiti strettamente 
pertinenti agli obblighi, al compiti o'alle finalità di cui al punto 3), a soggetti pubblici o privati, ivi 
compresi organismi sanitari, cassexefondi di previdenza ed assistenza sanitaria integrativa anche 
aziendale, istituti di patronato &xdi assistenza sociale, centri di assistenza fiscale, agenzie per il 
lavoro, associazioni ed organizzazioni sindacali di datori di lavoro e di prestatori di lavoro, liberi 
professionisti, società esterne titolari di un autonomo trattamento di dati e familiari dell’interessato. 


Ai sensi dell’art. 26, comma 5, del Codice, i dati idonei a rivelare lo stato di salute non possono 
essere diffusi. 


8) Richieste di autorizzazione. 

I titolari deintrattamenti che rientrano nell’ambito di applicazione della presente autorizzazione 
non sono tenùti‘a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende éffettuare sia conforme alle prescrizioni suddette. 

Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di 


adoziente del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 
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Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi 
in difformità dalle prescrizioni del presente provvedimento, salvo che, ai sensi dell’art.41 del 
Codice, il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione. 


9) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge o di regolamento, ovvere dalla normativa 
comunitaria, che stabiliscono divieti o limiti in materia di trattamento di “dati personali e, in 
particolare, dalle disposizioni contenute: 


a) nell’art. 8 della legge 20 maggio 1970, n. 300, che vieta%al"datore di lavoro ai fini 
dell’assunzione e nello svolgimento del rapporto di lavoro, “di effettuare indagini, anche a 
mezzo di terzi, sulle opinioni politiche, religiose o sindacalik$del lavoratore, nonché su fatti 
non rilevanti ai fini della valutazione dell’attitudine profèssionale del lavoratore; 


b)  nell’art 6 della legge 5 giugno 1990, n. 135, che vieta at datori di lavoro lo svolgimento di 
indagini volte ad accertare, nei dipendenti o if persone prese in considerazione per 
l'instaurazione di un rapporto di lavoro, l’esistenza di uno stato di sieropositività; 


c) nelle normein materia di pari opportunità o/Wolté a prevenire discriminazioni; 


d) = fermorestando quanto disposto dall’art.-8 della legge 20 maggio 1970, n. 300, nell’art. 10 
del d.1g. 10 settembre 2003, n. 276, chèwieta alle agenzie per il lavoro e agli altri soggetti 
privati autorizzati o accreditati di effettuare qualsivoglia indagine o comunque trattamento 
di dati ovvero di preselezione di lavoratori, anche con il loro consenso, in base alle 
convinzioni personali, alla affiliazione sindacale o politica, al credo religioso, al sesso, 
all'orientamento sessuale, allo&stato matrimoniale o di famiglia o di gravidanza, alla età, 
all'handicap, alla razza, all'ofigine etnica, al colore, alla ascendenza, all'origine nazionale, 
al gruppo linguistico, allo stato di salute e ad eventuali controversie con i precedenti datori 
di lavoro, nonché di trattare dati personali dei lavoratori che non siano strettamente 
attinenti alle loro attitudini professionali e al loro inserimento lavorativo. 


10) Efficacia temporale e disciplina transitoria. 
La presente autorizzazione ha efficacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 
Qualora alla data*della pubblicazione della presente autorizzazione il trattamento non sia già 
conforme alle prescrizioni non contenute nella precedente autorizzazione n. 1/2002, il titolare deve 


adeguarsi ad essèentro il 30 settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: RODOTÀ 


Il segretario generale: BUTTARELLI 
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PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale. (Autorizzazione 
n. 2/2004). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prot. Stefano Rodotà, presidente,*del prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codicedhsmateria di protezione dei 
dati personali; 


Visto, in particolare, l’art. 4, comma 1, lett. d), del citato Codice, il quale individua i dati 
sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del Codicevi soggetti privati e gli enti pubblici 
economici possono trattare i dati sensibili solo previa autorizzazione di questa Autorità e, ove 
necessario, con il consenso scritto degli interessati, nelltosservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti} 


Visto l’art. 76 del Codice, secondo cui gli esercenti le professioni sanitarie e gli organismi 
sanitari pubblici, anche nell’ambito di un’attivîtà di rilevante interesse pubblico ai sensi 
dell’articolo 85 del medesimo Codice, possono trattare i dati personali idonei a rivelare lo stato di 
salute anche senza il consenso dell’interessato/ previa autorizzazione del Garante, se il trattamento 
riguarda dati e operazioni indispensabili per perseguire una finalità di tutela della salute o 
dell'incolumità fisica di un terzo o della colléttività; 


Considerato che il trattamento déindati in questione può essere autorizzato dal Garante anche 
d’ufficio con provvedimenti di cafattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice): 


Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per prescrivere misure uniformi a garanzia degli interessati, rendendo altresì 
superflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi dell*art. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi, in 
relazione“alla fase di prima applicazione delle nuove disposizioni del Codice; 


Considerata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 


di\danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
nonché per la dignità delle persone, e, in particolare, per il diritto alla protezione dei dati personali 


e 
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sancito all’art. 1 del Codice, principi valutati anche sulla base delle raccomandazioni adottatéxin 
materia di dati sanitari dal Consiglio d'Europa ed in particolare dalla Raccomandazione N.R (9795, 
in base alla quale i dati sanitari devono essere trattati, di regola, solo nell'ambito dell'assistenza 
sanitaria o sulla base di regole di segretezza e di efficacia pari a quelle previste in tale ambito; 


Considerato che un elevato numero di trattamenti idonei a rivelare lo stato di salute e la vita 
sessuale è effettuato per finalità di prevenzione o di cura, per la gestione di servizi ‘socio-sanitari, 
per ricerche scientifiche o per la fornitura all’interessato di prestazioni, beni o servizi; 


Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della 
disciplina rilevante in materia di trattamento di dati personali non possonoessere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il disciplinare tecnico dicui all’Allegato B) al Codice 
in materia di protezione dei dati personali recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 
Visti gli atti d’ufficio; 


Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore il prof. Stefano Rodotà; 
Autorizza 
a) gli esercenti le professioni sanitatte/a trattare i dati idonei a rivelare lo stato di salute, 
qualora i dati e le operazioni siafto indispensabili per tutelare l'incolumità fisica o la salute di 
un terzo o della collettività, € ilhconsenso non sia prestato o non possa essere prestato per 


effettiva irreperibilità, 


b) gli organismi e le case. dincura private, nonché ogni altro soggetto privato, a trattare con il 
consenso i dati idonei la rivelare lo stato di salute e la vita sessuale; 


c) gli organismi sanitàri pubblici, istituiti anche presso università, ivi compresi i soggetti 
pubblici allorché“agiscano nella qualità di autorità sanitarie, a trattare i dati idonei a rivelare 


lo stato di salute-qualora ricorrano contemporaneamente le seguenti condizioni: 


1) il trattamento sia finalizzato alla tutela dell’incolumità fisica e della salute di un terzo 
o della collettività; 


2)<manchi il consenso (articolo 76, comma 1, lett. b), del Codice), in quanto non sia 
prestato o non possa essere prestato per effettiva irreperibilità; 


3) non si tratti di attività amministrative correlate a quelle di prevenzione, diagnosi, 
cura e riabilitazione ai sensi dell’art. 85, commi 1 e 2, del Codice; 


d) anche soggetti diversi da quelli di cui alle lettere a), b) e c) a trattare i dati idonei a rivelare 
lo stato di salute e la vita sessuale, qualora il trattamento sia necessario per la salvaguardia 
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della vita o dell’incolumità fisica di un terzo. Se la medesima finalità riguarda l’interessato.e 
quest’ultimo non può prestare il proprio consenso per impossibilità fisica, per incapacità di 
agire o per incapacità d’intendere o di volere, il consenso è manifestato da chi esercita 
legalmente la potestà, ovvero da un prossimo congiunto, da un familiare, da un convivente 
o, in loro assenza, dal responsabile della struttura presso cui dimora l’interessato. 


Per l’informativa e, ove previsto, il consenso si osservano anche le disposizioni di cui agli 
articoli 13, 23, 26 e da 75 a 82 del Codice. 


1) Ambito di applicazione e finalità del trattamento. 
1.1. L’autorizzazione è rilasciata: 


a) ai medici-chirurghi, ai farmacisti, agli odontoiatri, agli psieologi e agli altri esercenti 
le professioni sanitarie iscritti in albi o in elenchi; 


b) al personale sanitario infermieristico, tecnico e»>della riabilitazione che esercita 
l’attività in regime di libera professione; 


c) alle istituzioni e agli organismi sanitari privati, anche quando non operino in rapporto 
con il servizio sanitario nazionale. 


In tali casi, l'autorizzazione è rilasciata anche per\consentire ai destinatari di adempiere o di 
esigere l’adempimento di specifici obblighi o di eseguire specifici compiti previsti da leggi, dalla 
normativa comunitaria o da regolamenti, in particolare in materia di igiene e di sanità pubblica, di 
prevenzione delle malattie professionali e degli infortuni, di diagnosi e cura, ivi compresi 1 trapianti 
di organi e tessuti, di riabilitazione degli stati di invalidità e di inabilità fisica e psichica, di 
profilassi delle malattie infettive e diffusive, di tutela della salute mentale, di assistenza 
farmaceutica e di assistenza sanitaria allevattività sportive o di accertamento, in conformità alla 
legge, degli illeciti previsti dall'ordinamento sportivo. Il trattamento può riguardare anche la 
compilazione di cartelle cliniche, di«certificati e di altri documenti di tipo sanitario, ovvero di altri 
documenti relativi alla gestione amministrativa la cui utilizzazione sia necessaria per i fini appena 
indicati. 


Qualora il perseguimento ditali fini richieda l'espletamento di compiti di organizzazione o di 
gestione amministrativa, i destinatari della presente autorizzazione devono esigere che i responsabili 
e gli incaricati del trattamento preposti a tali compiti osservino le stesse regole di segretezza alle 
quali sono sottoposti 1 medesimi destinatari della presente autorizzazione, nel rispetto di quanto 
previsto anche dall’art83, comma 1, del Codice. 


1.2. L*autorizzazione è rilasciata, altresì, ai seguenti soggetti: 


a)valle persone fisiche o giuridiche, agli enti, alle associazioni e agli altri organismi 
privati, per scopi di ricerca scientifica, anche statistica, finalizzata alla tutela della salute 
dell'interessato, di terzi o della collettività in campo medico, biomedico o 
epidemiologico, allorché si debba intraprendere uno studio delle relazioni tra i fattori di 
rischio e la salute umana, o indagini su interventi sanitari di tipo diagnostico, terapeutico 
o preventivo, ovvero sull’utilizzazione di strutture socio-sanitarie, e la disponibilità di 
dati solo anonimi su campioni della popolazione non permetta alla ricerca di raggiungere 
i suoi scopi. In tali casi occorre acquisire il consenso (in conformità a quanto previsto 
dagli articoli 106, 107 e 110 del Codice), e il trattamento successivo alla raccolta non 
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deve permettere di identificare gli interessati anche indirettamente, salvo che 
l’abbinamento al materiale di ricerca dei dati identificativi dell'interessato sia 
temporaneo ed essenziale per il risultato della ricerca, e sia motivato, altresì, per iscritto 
I risultati della ricerca non possono essere diffusi se non in forma anonima. Resta fermo 
quanto previsto dall’art. 98 del Codice; 


b) alle organizzazioni di volontariato o assistenziali, limitatamente ai date alle 
operazioni indispensabili per perseguire scopi determinati e legittimi&prèvisti, in 
particolare, nelle rispettive norme statutarie; 


c) alle comunità di recupero e di accoglienza, alle case di cura e di riposo, limitatamente 
ai dati e alle operazioni indispensabili per perseguire scopi determinati e legittimi 
previsti, in particolare, nelle rispettive norme statutarie, 


d) agli enti, alle associazioni e alle organizzazioni religiose riconosciute, relativamente 
al dati e alle operazioni indispensabili per perseguire scopi determinati e legittimi nei 
limiti di quanto stabilito dall’art. 26, comma 4, lett. a),\del Codice, fermo restando 
quanto previsto per le confessioni religiose dagli articéli 26, comma 3, lett. a), e 181, 
comma 6, del Codice e dell’autorizzazione n. 3/2004; 


e) alle persone fisiche e giuridiche, alle imprese; \agli enti, alle associazioni e ad altri 
organismi, limitatamente ai dati, ove necessario ‘attinenti anche alla vita sessuale, e alle 
operazioni indispensabili per adempiere agli obblighi, anche precontrattuali, derivanti da 
un rapporto di fornitura all’interessato di benixdi prestazioni o di servizi. 


Se il rapporto intercorre con istituti di credito, imprese assicurative o riguarda valori 
mobiliari, devono considerarsi indispensabili i soli dati ed operazioni necessari per 
fornire specifici prodotti o servizi fichiesti dall'interessato. Il rapporto può riguardare 
anche la fornitura di strumenti di ausilio per la vista, per l'udito o per la deambulazione; 


f) alle persone fisiche e giuridiche, agli enti, alle associazioni e agli altri organismi che 
gestiscono impianti o struttùfe sportive, limitatamente ai dati e alle operazioni 
indispensabili per accertate, Vidoneità fisica alla partecipazione ad attività sportive o 
agonistiche; 


g) alle persone fisiche e giuridiche e ad altri organismi, limitatamente ai dati dei 
beneficiari e dei donatori e alle operazioni indispensabili per effettuare trapianti di 
organi e tessuti, nonché donazioni di sangue. 


1.3. La presente autorizzazione è rilasciata, altresì, quando il trattamento dei dati idonei 
a rivelare lo stato di salute e la vita sessuale sia necessario per: 


a) lo svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 
397, © Comunque per far valere o difendere un diritto anche da parte di un terzo in sede 
giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di 
conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai regolamenti o 
dai contratti collettivi, sempre che il diritto sia di rango pari a quello dell’interessato, 
ovvero consistente in un diritto della personalità o in altro diritto o libertà fondamentale 
e inviolabile, e i dati siano trattati esclusivamente per tali finalità e per il periodo 
strettamente necessario per il loro perseguimento; 
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b) adempiere o esigere l'adempimento di specifici obblighi o per eseguire specifiti 
compiti previsti dalla normativa comunitaria, da leggi, da regolamenti o da cofitratti 
collettivi per la gestione del rapporto di lavoro, nonché della normativa in materia di 
previdenza e assistenza o in materia di igiene e sicurezza del lavoro o della popolazione, 
nei limiti previsti dalla autorizzazione generale del Garante n. 1/2004 e fermexestando le 
disposizioni del codice di deontologia e di buona condotta di cui all’afticolo 111 del 
Codice. 


1.4. Fino alla data in cui sarà efficace l’apposita autorizzazione per il.trattamento dei dati 
genetici prevista dall’art. 90 del Codice, restano autorizzati i trattamenti di dati genetici 
nei soli limiti e alle condizioni individuate al punto 2, lett. b)»dell’autorizzazione n. 
2/2002. 


2) Categorie di dati oggetto di trattamento. 


Prima di iniziare o proseguire il trattamento i sistemi informativi\é i programmi informatici sono 
configurati riducendo al minimo l’utilizzazione di dati personaliv@di dati identificativi, in modo da 
escluderne il trattamento quando le finalità perseguite nei Singoli casi possono essere realizzate 
mediante, rispettivamente, dati anonimi od opportune medalità che permettano di identificare 
l’interessato solo in caso di necessità, in conformità all’art.)3) del Codice. 


Tl trattamento può avere per oggetto i dati strettamente pertinenti ai sopra indicati obblighi, 
compiti o finalità che non possano essere adempiuti o realizzati, caso per caso, mediante il 
trattamento di dati anonimi o di dati personali di-natura diversa, e può comprendere le informazioni 
relative a stati di salute pregressi. 


Devono essere considerate sottoposte all'ambito di applicazione della presente autorizzazione 
anche le informazioni relative ai nascituri, che devono essere trattate alla stregua dei dati personali 
in conformità a quanto previsto dalla citataraccomandazione N. R (97) 5 del Consiglio d’Europa. 


3) Modalità di trattamento. 


Fermi restando gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagli articoli 31 e 
seguenti del Codice e dall’ Alleato B) al medesimo Codice, il trattamento dei dati sensibili deve 
essere effettuato unicamente con operazioni, nonché con logiche e mediante forme di 
organizzazione dei dati strettamente indispensabili in rapporto ai sopra indicati obblighi, compiti o 
finalità. 


I dati sono raccolti, di regola, presso l’interessato. 


La comunicazione di dati all’interessato deve avvenire di regola direttamente a quest’ultimo o a 
un suo delegato (fermo restando quanto previsto dall’art. 84, comma 1, del Codice), in plico chiuso 
o con altro-mezzo idoneo a prevenire la conoscenza da parte di soggetti non autorizzati, anche 
attraverso la\previsione di distanze di cortesia. 


PerAle” informazioni relative ai nascituri, il consenso è prestato dalla gestante. Dopo il 
raggiungimento della maggiore età l’informativa è fornita all'interessato anche ai fini della 


acquisizione di una nuova manifestazione del consenso quando questo è necessario (art. 82, comma 
4, del Codice). 
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4) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e) del Codice; i dati 
possono essere conservati per un periodo non superiore a quello necessario per adempiere agli 
obblighi o ai compiti sopra indicati, ovvero per perseguire le finalità ivi menzionate>A tal fine, 
anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, non 
eccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione o all’incarico in corso, da 
instaurare o cessati, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. I 
dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinentivo/non indispensabili 
non possono essere utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o 
del documento che li contiene. Specifica attenzione è prestata per l’indispènsabilità dei dati riferiti a 
soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e @livadempimenti. 


5) Comunicazione e diffusione dei dati . 


I dati idonei a rivelare lo stato di salute, esclusi i dati genetici, possono essere comunicati, nei 
limiti strettamente pertinenti agli obblighi, al compiti e alle(finalità di cui al punto 1), a soggetti 
pubblici e privati, ivi compresi 1 fondi e le casse di assistenza’sanitaria integrativa, le aziende che 
svolgono attività strettamente correlate all’esercizio di professioni sanitarie o alla fornitura 
all'interessato di beni, di prestazioni o di servizi, gli istituti di credito e le imprese assicurative, le 
associazioni od organizzazioni di volontariato e i familiari dell'interessato. 


Ai sensi degli artt. 22, comma 8, e 26, comma $$ del Codice, i dati idonei a rivelare lo stato di 
salute non possono essere diffusi. 


I dati idonei a rivelare la vita sessuale rion possono essere diffusi, salvo il caso in cui la 
diffusione riguardi dati resi manifestamente pubblici dall'interessato e per i quali l'interessato stesso 
non abbia manifestato successivamentela’”sua opposizione per motivi legittimi. 


6) Richieste di autorizzazione. 


I titolari dei trattamenti che fientrano nell’ambito di applicazione della presente autorizzazione 
non sono tenuti a presentare una Tichiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende effettuare sia conforme alle prescrizioni suddette. 


Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di 
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 


Il Garante non, prenderà in considerazione richieste di autorizzazione per trattamenti da 
effettuarsi in difformità alle prescrizioni del presente provvedimento, salvo che, ai sensi dell’art. 41 
del Codice, Al lòro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione, relative, ad esempio, al caso in cui la 
raccolta del consenso comporti un impiego di mezzi manifestamente sproporzionato in ragione, in 
particolare, del numero di persone interessate. 
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7) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge o di regolamento o dalla nòrmativa 
comunitaria che stabiliscono divieti o limiti più restrittivi in materia di trattamento di datispersonali 
e, in particolare: 


a) dall'art. 5, comma2, della legge 5 giugno 1990, n. 135, come modificato dall’art. 178 del 
Codice, secondo cui la rilevazione statistica della infezione da HIV déve/essere effettuata 
con modalità che non consentano l'identificazione della persona; 


b)  dall’art 11 della legge 22 maggio 1978, n. 194, il quale dispone»che l’ente ospedaliero, la 
casa di cura o il poliambulatorio nei quali è effettuato un intervento di interruzione di 
gravidanza devono inviare al medico provinciale competente per territorio una 
dichiarazione che non faccia menzione dell’identità della donna; 


c) dall'art. 734-bis del codice penale, il quale vieta la divulgazione non consensuale delle 
generalità o dell'immagine della persona offesa da atti di,violenza sessuale. 


Restano altresì fermi gli obblighi di legge che vietano”la rivelazione senza giusta causa e 
l'impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale, nonché gli 
obblighi deontologici previsti, in particolare, dal Codice di deontologia medica adottato dalla 
Federazione nazionale degli ordini dei medici chirurghi vé degli odontoiatri. 


Resta ferma, infine, la possibilità di diffondere dati anonimi anche aggregati e di includerli, in 
particolare, nelle pubblicazioni a contenuto scientifico o finalizzate all’educazione, alla prevenzione 
o all’informazione di carattere sanitario. 

8) Efficacia temporale e disciplina transitoria. 

La presente autorizzazione ha effitacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 

Qualora alla data della pubblicazione della presente autorizzazione il trattamento non sia già 
conforme alle prescrizioni non contenute nella precedente autorizzazione n. 2/2002, il titolare deve 


adeguarsi ad esse entro il 30 settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: RODOTÀ 


Il segretario generale: BUTTARELLI 
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PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati sensibili da parte degli organismi di titpo associativo e delle fondazioni. 
(Autorizzazione n. 3/2004). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente del prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice it materia di protezione dei 
dati personali; 


Visto, in particolare, l’art. 4, comma 1, lett. d), del citato Codice, il quale individua i dati 
sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del CodiCe.i soggetti privati e gli enti pubblici 
economici possono trattare i dati sensibili solo previa aùterizzazione di questa Autorità c, ove 
necessario, con il consenso scritto degli interessati, nell’osservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti; 


Visto altresì il comma 4, lett. a), del citato art. 2Gril quale stabilisce che i dati sensibili possono 
essere oggetto di trattamento anche senza conseriso, "previa autorizzazione del Garante, “quando il 
trattamento è effettuato da associazioni, enti od organismi senza scopo di lucro, anche non 
riconosciuti, a carattere politico, filosofico, relfgioso o sindacale, ivi compresi partiti e movimenti 
politici, per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo 
statuto o dal contratto collettivo, relativamente ai dati personali degli aderenti o dei soggetti che in 
relazione a tali finalità hanno contatti regolari con l’associazione, ente od organismo, sempre che i 
dati non siano comunicati all’esternoco diffusi e l’ente, associazione od organismo determini idonee 
garanzie relativamente ai trattamenti)effettuati, prevedendo espressamente le modalità di utilizzo dei 
dati con determinazione resa nota ‘agli interessati all’atto dell’informativa ai sensi dell’articolo 13”; 


Visto il comma 3, lettere a) è-b), del predetto art. 26, il quale stabilisce che la disciplina di cui al 
relativo comma 1 non si applica al trattamento: a) dei dati relativi agli aderenti alle confessioni 
religiose e ai soggetti checon riferimento a finalità di natura esclusivamente religiosa hanno contatti 
regolari con le medesime ‘confessioni, effettuato dai relativi organi, ovvero da enti civilmente 
riconosciuti, sempre ehé.i dati non siano diffusi o comunicati fuori delle medesime confessioni; b) 
dei dati riguardanti/l’adesione di associazioni od organizzazioni a carattere sindacale o di categoria 
ad altre associazioni organizzazioni o confederazioni a carattere sindacale o di categoria; 


Rilevato chietté confessioni di cui alla lettera a) devono determinare, ai sensi del medesimo art. 
26, comma 3 Nett. a), idonee garanzie relativamente ai trattamenti effettuati, nel rispetto dei principi 


indicati alwziguardo con autorizzazione del Garante; 


Viste. l’art. 181, comma 6, del Codice secondo cui le confessioni religiose che, prima 
delladozione del medesimo Codice, abbiano determinato e adottato nell’ambito del rispettivo 
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ordinamento le garanzie di cui al predetto art. 26, comma 3, lett. a), possono proseguire l’attivitàdi 
trattamento nel rispetto delle medesime; 


Considerato che il trattamento dei dati in questione può essere autorizzato dal Garante anche 
d'ufficio con provvedimenti di carattere generale, relativi a determinate categorie Jdintitolari o di 
trattamenti (art. 40, del Codice); 


Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per prescrivere misure uniformi a garanzia degli interessati: rendendo altresi 
superflua la richiesta di singoli provvedimenti di autorizzazione da parte‘di numerosi titolari del 
trattamento; 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciàre nuove autorizzazioni in 
sostituzione di quelle in scadenza il 30 giugno 2004, armonizzandoAeprescrizioni già impartite alla 
luce dell’esperienza maturata; 


Ritenuto opportuno che anche tali nuove autorizzazioni siafio provvisorie e a tempo determinato, 
ai sensi dall’art. 41, comma 5, del Codice, e, in particolare @fficaci per il periodo di dodici mesi, in 
relazione alla fase di prima applicazione delle nuove disposizioni del Codice; 

Considerata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 
di danno o di pericolo che 1 trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
nonché per la dignità delle persone, e in particolaréèy per il diritto alla protezione dei dati personali 
sancito all’art. 1 del Codice; 

Considerato che un elevato numero di trattamenti di dati sensibili è effettuato da enti ed 
organizzazioni di tipo associativo e da fondazioni, per la realizzazione di scopi determinati e 
legittimi individuati dall’atto costitutivo; dallo statuto o da un contratto collettivo; 


Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, delGodice, il quale stabilisce che i dati trattati in violazione della 
disciplina rilevante in materia dirattamento di dati personali non possono essere utilizzati, 


Visti gli articoli 31 exseguenti del Codice e il disciplinare tecnico di cui all’ Allegato B)al 
medesimo Codice recantisnorme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice: 
Visti gli atti dîufficio: 


Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del 
regolamento‘del Garante n. 1/2000; 


Relatore il dott. Mauro Paissan; 
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Autorizza 


il trattamento dei dati sensibili di cui art. 4, comma 1, lett. d), del Codice da parte di associazioni, 
fondazioni, comitati ed altri organismi di tipo associativo, secondo le prescrizioni di seguito 
indicate. 


Prima di iniziare o proseguire il trattamento i sistemi informativi e i programmi infofmatici sono 
configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da 
escluderne il trattamento quando le finalità perseguite nei singoli casi possono“Vessere realizzate 
mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di necessità, in conformità all’art. 3 del Codice. 


1) Ambito di applicazione. 


La presente autorizzazione è rilasciata: 


a) alle associazioni anche non riconosciute, ai partitine i movimenti politici, alle 
associazioni e alle organizzazioni sindacali, ai patronati e alle associazioni di categoria, 
alle casse di previdenza, alle organizzazioni assistenziali o di volontariato, nonché le 
federazioni e confederazioni nelle quali tali soggetti sono riuniti in conformità, ove 
esistenti, allo statuto, all'atto costitutivo o ad un-cofitratto collettivo; 


b) alle fondazioni, ai comitati e ad ogni altro énte; consorzio od organismo senza scopo di 
lucro, dotati o meno di personalità giùridica, ivi comprese le organizzazioni non 
lucrative di utilità sociale (Onlus); 


c) alle cooperative sociali c alle società diimutuo soccorso di cui, rispettivamente, alle leggi 
8 novembre 1991, n. 381 e 15 aprile1886, n. 3818. 


L'autorizzazione è rilasciata altresi 4agli istituti scolastici anche di tipo non associativo, 
limitatamente al trattamento dei dati idohèi a rivelare le convinzioni religiose e per le operazioni 
strettamente necessarie per l’applicazione dell’articolo 310 del decreto legislativo 16 aprile 1994, n. 
297. 


Resta fermo l’obbligo per le‘confessioni religiose di determinare, ai sensi dell’art. 26, comma 3, 
lett. a) del Codice, idonee garanzie relativamente ai trattamenti effettuati, nel rispetto dei principi 
indicati con la presente autorizzazione. 


Ai sensi dell’art. 181Scomma 6, del Codice, le confessioni religiose che, prima dell’adozione del 
medesimo Codice, abbiano determinato e adottato nell’ambito del rispettivo ordinamento le 
garanzie di cui all’art. 26, comma 3, lett. a), del Codice possono proseguire l’attività di trattamento 
effettuato dai relativivorgani, ovvero da enti civilmente riconosciuti, nel rispetto delle medesime. 


2) Finalità del traitamento. 


L'autofizzazione è rilasciata per il perseguimento di scopi determinati e legittimi individuati 
dall'atto_costitutivo, dallo statuto o dal contratto collettivo, ove esistenti, e in particolare per il 
perseguimento di finalità culturali, religiose, politiche, sindacali, sportive o agonistiche di tipo non 
professionistico, di istruzione anche con riguardo alla libertà di scelta dell’insegnamento religioso, 
di fermazione, di ricerca scientifica, di patrocinio, di tutela dell’ambiente e delle cose d'interesse 
artistico e storico, di salvaguardia dei diritti civili, nonché di beneticenza, assistenza sociale o socio- 
sanitaria. 
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La presente autorizzazione è rilasciata, altresì, per far valere o difendere un diritto anchè*da 
parte di un terzo in sede giudiziaria, nonché in sede amministrativa o nelle procedure di arbîtrato e 
di conciliazione nei casi previsti dalla normativa comunitaria, dalle leggi, dai regolamentivo dai 
contratti collettivi. La presente autorizzazione è rilasciata inoltre per l’esercizio del difitto di 
accesso al documenti amministrativi, nei limiti di quanto stabilito dalle leggi e dai regolamenti in 
materia. 


Per i fini predetti, il trattamento dei dati sensibili può riguardare anche la tenuta di registri e 
scritture contabili, di elenchi, di indirizzari e di altri documenti necessari/per la gestione 
amministrativa dell’associazione, della fondazione, del comitato o del diverso organismo, o per 
l'adempimento di obblighi fiscali, ovvero per la diffusione di riviste, bollettinive simili. 


Qualora i soggetti di cui alle lettere a), b) e c) si avvalgano di @ersone giuridiche o di altri 
organismi con scopo di lucro o di liberi professionisti per perseguire le predette finalità, ovvero 
richiedano ad essi la fornitura di beni, prestazioni o servizi, la presente autorizzazione è rilasciata 
anche ai medesimi organismi, persone giuridiche o liberi professionisti. 


I soggetti di cui alle lettere a), b) e c) possono comunicare alle persone giuridiche e agli 
organismi con scopo di lucro titolari di un autonomo trattamento, i soli dati sensibili strettamente 
indispensabili per le attività di effettivo ausilio alle predette finalità, con particolare riferimento alle 
generalità degli interessati e ad indirizzari, sulla base di uf atto scritto che individui con precisione 
le informazioni comunicate, le modalità del successivo utilizzo, le particolari misure di sicurezza, 
nonché, ove previsto, le idonee garanzie determinate: La dichiarazione scritta di consenso degli 
interessati deve porre tale circostanza in particolare.evidenza e deve recare la precisa menzione dei 
titolari del trattamento e delle finalità da essi perseguite. Le persone giuridiche e gli organismi con 
scopo di lucro, oltre a quanto previsto nei puriti 4) e 6) in tema di pertinenza, non eccedenza e 
indispensabilità dei dati, possono trattare i dati così acquisiti solo per scopi di ausilio alle finalità 
predette, ovvero per scopi amministrativi &contabili. 


3) Interessati ai quali i dati si riferiscone. 
Il trattamento può riguardare i-dati sensibili attinenti: 


a) agli associati, ai soGi €) se strettamente indispensabile per il perseguimento delle finalità 
di cui al punto 1),.ai relativi familiari e conviventi, 


b) agli aderenti, aissostenitori o sottoscrittori, nonché ai soggetti che presentano richiesta di 
ammissionevo=di adesione o che hanno contatti regolari con l’associazione, la fondazione 
o il diverso ofganismo; 

c) ai soggetti che ricoprono cariche sociali o onorifiche; 

d) al'beneficiari, agli assistiti e ai fruitori delle attività o dei servizi prestati dall’associazione 
o dal diverso organismo, limitatamente ai soggetti individuabili in base allo statuto o 


all'atto costitutivo, ove esistenti; 


e) agli studenti iscritti o che hanno presentato domanda di iscrizione agli istituti di cui al 
punto 1) e, qualora si tratti di minori, ai loro genitori o a chi ne esercita la potestà: 


Î) ai lavoratori dipendenti degli associati e dei soci, limitatamente ai dati idonei a rivelare 
l’adesione a sindacati, associazioni od organizzazioni a carattere sindacale e alle 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


operazioni necessarie per adempiere a specifici obblighi derivanti da contratti collettivi 
anche aziendali. 


4) Categorie di dati oggetto di trattamento. 


L'autorizzazione non riguarda i dati idonei a rivelare lo stato di salute e la vita sessuale, ai quali 
si riferisce l'autorizzazione generale n. 2/2004. 


Il trattamento può avere per oggetto gli altri dati sensibili di cui all'articolo 4, comma 1, lettera 
d) del Codice, idonei a rivelare l'origine razziale ed etnica, le convinzioni-religiose, filosofiche o di 
altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a 
carattere religioso, filosofico, politico o sindacale. 


Il trattamento può riguardare 1 dati e le operazioni indispensabilitper perseguire le finalità di cui 
al punto 1) o, comunque, per adempiere ad obblighi derivanti” dalla legge, dalla normativa 
comunitaria, dai regolamenti o dai contratti collettivi, che \ion possano essere perseguite o 
adempiuti, caso per caso, mediante il trattamento di dati ‘atenimi o di dati personali di natura 
diversa. 


A tal fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta 
pertinenza, non eccedenza e indispensabilità dei dati)rispetto ai predetti obblighi e finalità, in 
particolare per quanto riguarda i dati che rivelano%evopinioni e le intime convinzioni, anche con 
riferimento ai dati che l’interessato fornisce di preptia iniziativa. I dati che, anche a seguito delle 
verifiche, risultano eccedenti o non pertinenti ovion indispensabili non possono essere utilizzati, 
salvo per l’eventuale conservazione, a norma di/legge, dell’atto o del documento che li contiene. 


5) Modalità di trattamento. 


Fermi restando gli obblighi previstidagli articoli 11 e 14 del Codice, dagli articoli 31 e seguenti 
del Codice e dall’allegato B) al medesimo Codice, il trattamento dei dati sensibili deve essere 
effettuato unicamente con operazioni, nonché con logiche e mediante forme di organizzazione dei 
dati strettamente indispensabiliinrapporto alle finalità, agli scopi e agli obblighi di cui al punto 2). 


I dati sono raccolti, di regola, presso l’interessato. 


Fermo restando quanto previsto ai punti 2) e 7) della presente autorizzazione, se è 
indispensabile, in confermità al medesimo punto 7) comunicare o diffondere dati all’esterno 
dell’associazione, della fondazione, del comitato o del diverso organismo, il consenso scritto è 
acquisito previa idonea informativa resa agli interessati ai sensi dell’art. 13 del Codice, la quale 
deve precisare le.specifiche modalità di utilizzo dei dati tenuto conto delle idonee garanzie adottate 
relativamente-ai trattamenti effettuati. 


6) Conservazione dei dati. 
Nelquadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e) del Codice, i dati 
sensibili possono essere conservati per un periodo non superiore a quello necessario per perseguire 


le finalità e gli scopi di cui al punto 2), ovvero per adempiere agli obblighi ivi menzionati. 


Le verifiche di cui al punto 4) devono riguardare anche la pertinenza, non eccedenza e 
indispensabilità dei dati rispetto all'attività svolta dall'interessato o al rapporto che intercorre tra 
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l'interessato e i soggetti di cui al punto 1), tenendo presente il genere di prestazione, di beneficio.ò 
di servizio offerto all'interessato e la posizione di quest'ultimo rispetto ai soggetti stessi. 


7) Comunicazione e diffusione dei dati. 

I dati sensibili possono essere comunicati a soggetti pubblici o privati, e ove necessario diffusi, 
solo se strettamente pertinenti alle finalità, agli scopi e agli obblighi di cui al punto 2) © tenendo 
presenti le altre prescrizioni sopraindicate. 

I dati sensibili possono essere comunicati alle autorità competenti se necessario)per finalità di 
prevenzione, accertamento o repressione dei reati, con l’osservanza delle normevche regolano la 
materia. 

I dati relativi allo stato di salute e alla vita sessuale non possono essere diffusi. 

8) Richieste di autorizzazione. 

I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione 
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende effettuare sia conforme alle prescrizioni suddette. 

Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di 
adozione del presente provvedimento, devono intendersr'accòlte nei termini di cui al provvedimento 
medesimo. 

Il Garante non prenderà in considerazione, rìchieste di autorizzazione per trattamenti da 
effettuarsi in difformità alle prescrizioni del presentè provvedimento, salvo che, ai sensi dell’art. 41 
del Codice, il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione. 


9) Norme finali. 


Restano fermi gli obblighi prewisti’ dalla normativa comunitaria, da norme di legge o di 
regolamento che stabiliscono divietive limiti in materia di trattamento di dati personali. 


Restano inoltre ferme le norme volte a prevenire discriminazioni, e in particolare le disposizioni 
contenute nel decreto-legge 26 aprile 1993, n. 122, convertito, con modificazioni, dalla legge 25 
giugno 1993, n. 205, in matéria/di discriminazione per motivi razziali, etnici, nazionali o religiosi e 
di delitti di genocidio. 

10) Efficacia temporale disciplina transitoria. 

La presente autorizzazione ha efficacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 

Qualora alla%data della pubblicazione della presente autorizzazione il trattamento non sia già 
conforme alle prescrizioni non contenute nella precedente autorizzazione n. 3/2002, il titolare deve 


adeguarsi desse entro il 30 settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzerta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: PAISSAN 


Il segretario generale: BUTTARELLI 
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PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati sensibili da parte dei liberi professionisti. (Autorizzazione n. 472004). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice if materia di protezione dei 
dati personali; 


Visto, in particolare, l’art. 4, comma 1, lett. d), del citato Codice, il quale individua i dati 
sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del Codige, Ivsoggetti privati e gli enti pubblici 
economici possono trattare i dati sensibili solo previa astorizzazione di questa Autorità e, ove 
necessario, con il consenso scritto degli interessati, nell}osservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti, 


Visto il comma 4, lett. c), del medesimo art. 26.il*quale stabilisce che i dati sensibili possono 
essere oggetto di trattamento anche senza consenso) previa autorizzazione del Garante, quando il 
trattamento medesimo è necessario ai fini dello Svolgimento delle investigazioni difensive ai sensi 
della legge 7 dicembre 2000, n. 397 o, comunque, per far valere o difendere in sede giudiziaria un 
diritto, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente 
necessario al loro perseguimento, e che, quando i dati siano idonei a rivelare lo stato di salute e la 
vita sessuale il diritto sia di rango pari /aquello dell’interessato, ovvero consista in un diritto della 
personalità o in un altro diritto o libertàYfondamentale inviolabile; 


Considerato che il trattamento.dei dati in questione può essere autorizzato dal Garante anche 
d’ufficio con provvedimenti di Carattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per prescrivere misure uniformi a garanzia degli interessati, rendendo altresi 
superflua la richiesta di7singoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione diQuelle in scadenza il 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperienza maturata; 


Ritenuto, opportuno che anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi)dell’art. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi, in 
relazione alla fase di prima applicazione delle nuove disposizioni del Codice e ai lavori avviati per 
l’adozione del codice di deontologia e buona condotta di cui all'art. 135 del Codice; 


_ 36 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


Considerata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo 1 riséhi 
di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
nonché per la dignità delle persone, e, in particolare, per il diritto alla protezione dei dati personali 
sancito all’art. 1 del Codice; 


Considerato che un elevato numero di trattamenti di dati sensibili è effettoato’ da liben 
professionisti iscritti in albi o elenchi professionali per l’espletamento delle rispettive attività 
professionali; 


Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della 
disciplina rilevante in materia di trattamento di dati personali non possono*essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il disciplinare téeittco di cui all’ Allegato B) al 
medesimo Codice recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 
Visti gli atti d’ufficio; 


Viste le osservazioni dell’Ufficio formulate dal/segretario generale ai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore il prof. Giuseppe Santaniello; 
Autorizza 


i liberi professionisti iscritti in albi o elenchi professionali a trattare i dati sensibili di cui all’art. 4, 
comma 1, lettera d), del Codice, secondo lex\prescrizioni di seguito indicate. 


Prima di iniziare o proseguire il trattamento i sistemi informativi e i programmi informatici sono 
configurati riducendo al minimo Vutilizzazione di dati personali e di dati identificativi, in modo da 
escluderne il trattamento quando.lè finalità perseguite nei singoli casi possono essere realizzate 
mediante, rispettivamente, dati ‘anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di necessità, in conformità all’art. 3 del Codice. 


1) Ambito di applicazione 


L’autorizzazione èrilasciata, anche senza richiesta, ai liberi professionisti tenuti ad iscriversi in 
albi o elenchi percl'esercizio di un'attività professionale in forma individuale o associata, anche in 
conformità al déereto legislativo 2 febbraio 2001, n. 96, o alle norme di attuazione dell'art. 24, 
comma 2, dellalegge 7 agosto 1997, n. 266, in tema di attività di assistenza e consulenza. 


Sono equiparati ai liberi professionisti i soggetti iscritti nei corrispondenti albi o elenchi speciali 
istituiti anché ai sensi dell'art. 34 del regio decreto-legge 27 novembre 1933, n. 1578 e successive 
modificazioni e integrazioni, recante l'ordinamento della professione di avvocato. 


T*autorizzazione è rilasciata anche ai sostituti e agli ausiliari che collaborano con il libero 
professionista ai sensi dell’art. 2232 del Codice civile, ai praticanti e ai tirocinanti presso il libero 
professionista, qualora tali soggetti siano titolari di un autonomo trattamento o siano contitolari del 
trattamento effettuato dal libero professionista. 
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Il presente provvedimento non si applica al trattamento dei dati sensibili effettuato: 


a) dagli esercenti la professione sanitaria e dagli psicologi, dal personale sanitario 
infermieristico, tecnico e della riabilitazione, ai quali si riferisce l'autorizzazione generale 
n. 2/2004, 


b) per la gestione delle prestazioni di lavoro o di collaborazione di cui si avvale il libero 
professionista o taluno dei soggetti sopra indicati, alla quale si riferisce’l'autorizzazione 
generale n. 1/2004; 


c) da soggetti privati che svolgono attività investigative, dai giornalisti, dai pubblicisti e dal 
praticanti giornalisti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69. 


2) Interessati ai quali i dati si riferiscono e categorie di dati. 
Il trattamento può riguardare i dati sensibili relativi ai clienti. 


I dati sensibili relativi ai terzi possono essere trattati ove ciò sia strettamente indispensabile per 
l'esecuzione di specifiche prestazioni professionali richieste dai clienti per scopi determinati e 
legittimi. 


In ogni caso, i dati devono essere strettamente pertinenti e non eccedenti rispetto ad incarichi 
conferiti che non possano essere svolti mediante il trattamento di dati anonimi o di dati personali di 
natura diversa. 


Il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale deve essere effettuato 
anche nel rispetto della citata autorizzazione generale n. 2/2004. 


3) Finalità del trattamento. 


Il trattamento dei dati sensibili può essere effettuato ai soli fini dell'espletamento di un incarico 
che rientri tra quelli che il liber6_professionista può eseguire in base al proprio ordinamento 
professionale, e in particolare: 


a) per curare gli adempimenti in materia di lavoro, di previdenza ed assistenza sociale e 
fiscale nell'interesse»dì altri soggetti che sono parte di un rapporto di lavoro dipendente o 
autonomo, ai sefisivdella legge 11 gennaio 1979, n. 12, che disciplina la professione di 
consulente del lavoro; 


b) ai fini dello svolgimento da parte del difensore delle investigazioni difensive di cui alla 
legge Xdicembre 2000, n. 397, anche a mezzo di sostituti e di consulenti tecnici, o. 
comunque, per far valere o difendere un diritto anche da parte di un terzo in sede 
giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di conciliazione 
neî casi previsti dalla normativa comunitaria, dalle leggi, dai regolamenti o dai contratti 
collettivi. Qualora i dati siano idonei a rivelare lo stato di salute e la vita sessuale, il diritto 
da far valere o difendere deve essere di rango pari a quello dell’interessato, ovvero 
consistente in un diritto della personalità o in un altro diritto o libertà fondamentale e 
inviolabile; 
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c) per l’esercizio del diritto di accesso ai documenti amministrativi, nei limiti di quanto 
stabilito dalle leggi e dai regolamenti in materia, salvo quanto previsto dall’artà60 del 
Codice in relazione ai dati sullo stato di salute e sulla vita sessuale. 


4) Modalità di trattamento. 


Il trattamento dei dati sensibili deve essere effettuato unicamente con logiche/è. mediante forme 
di organizzazione dei dati strettamente indispensabili in rapporto all'incarico conferito dal cliente. 


Restano fermi gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagli articoli 31 e 
seguenti del Codice e dall’ Allegato B) al medesimo Codice. 


Restano inoltre fermi gli obblighi di informare l'interessato ai sensisdell'art. 13, commi 1, 4 e 5, 
del Codice, anche quando i dati sono raccolti presso terzi, e di acquisite, ove necessario, il consenso 
scritto. 


Se i dati sono raccolti per l'esercizio di un diritto in sede giudiziaria o per le indagini difensive 
(punto 3), lett. b), l'informativa relativa ai dati raccolti pressò terzi, e il consenso scritto, sono 
necessari solo se i dati sono trattati per un periodo superiore a quello strettamente necessario al 
perseguimento di tali finalità, oppure per altre finalità con esse non incompatibili. 


Le informative devono permettere all'interessato di,comprendere agevolmente se il titolare del 
trattamento è un singolo professionista o un'associazione di professionisti, ovvero se ricorre 
un'ipotesi di contitolarità tra più liberi professionisti o di esercizio della professione in forma 
societaria ai sensi del decreto legislativo 2 febbraio 2001, n. 96. 


Resta ferma la facoltà del libero professionista di designare quali responsabili o incaricati del 
trattamento i sostituti, gli ausiliari, i tirocinanti e i praticanti presso il libero professionista, i quali, 
in tal caso, possono avere accesso aicsoli dati strettamente pertinenti alla collaborazione ad essi 
richiesta. 


Analoga cautela deve essere ‘adottata in riferimento agli incaricati del trattamento preposti 
all’espletamento di compiti amministrativi. 


3) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e), del Codice, i dati 
sensibili possono essere conservati, per il periodo di tempo previsto dalla normativa comunitaria, da 
leggi, o da regolamienti e, comunque, per un periodo non superiore a quello strettamente necessario 
per adempiere agliincarichi conferiti. 


A tal fine; anche mediante controlli periodici, deve essere verificata la stretta pertinenza, non 
eccedenza/@.indispensabilità dei dati rispetto agli incarichi in corso, da instaurare o cessati, anche 
con riferimento ai dati che l’interessato fornisce di propria iniziativa. I dati che, anche a seguito 
delle verifiche, risultano eccedenti o non pertinenti o non indispensabili non possono essere 
utilizzati) salvo che per l’eventuale conservazione, a norma di legge, dell’atto o del documento che 
li contiene. Specifica attenzione è prestata per l’indispensabilità dei dati riferiti a soggetti diversi da 
quetH cui si riferiscono direttamente le prestazioni e gli adempimenti. 
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I dati acquisiti in occasione di precedenti incarichi possono essere mantenuti se pertinenti, non 
eccedenti e indispensabili rispetto a successivi incarichi. 


6) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati e ove necessario diffusi, a soggetti pubblico privati, 
nei limiti strettamente pertinenti all'espletamento dell'incarico conferito e nel rispetto, in ògni caso, 
del segreto professionale. 


I dati idonei a rivelare lo stato di salute possono essere comunicati solo se necessario per finalità 
di prevenzione, accertamento o repressione dei reati, con l’osservanza delle normexChe regolano la 
materia. 


I dati relativi allo stato di salute e alla vita sessuale non possono essere diffusi. 
7) Richieste di autorizzazione. 

I titolari dei trattamenti che rientrano nell’ambito di applicazioîîe, della presente autorizzazione 
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende effettuare sia conforme alle prescrizioni suddette; 

Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di 
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 

ll Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da 
effettuarsi in difformità alle prescrizioni del presente(provvedimento, salvo che, ai sensi dell’art. 41 
del Codice, il loro accoglimento sia giustificato\da}circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione. 

8) Norme finali. 

Restano fermi gli obblighi previsti/da norme di legge o di regolamento o dalla normativa 
comunitaria che stabiliscono divieti f&lmiti più restrittivi in materia di trattamento di dati personali 
e, in particolare, dalle leggi 20 maggio 1970, n. 300, e 5 giugno 1990, n. 135, come modificato 
dall’art. 178 del Codice, nonché dalle norme volte a prevenire discriminazioni. 

Restano fermi, altresi, gli obblighi di legge che vietano la rivelazione senza giusta causa e 
l'impiego a proprio o altruit.profitto delle notizie coperte dal segreto professionale, nonché gli 
obblighi deontologici o dibuona condotta relativi alle singole figure professionali. 

9) Efficacia temporale“edisciplina transitoria. 

La presente autorizzazione ha efficacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 

Qualora alla data della pubblicazione della presente autorizzazione il trattamento non sia già 
conforme all&prescrizioni non contenute nella precedente autorizzazione n. 4/2002, il titolare deve 


adeguarsidd esse entro il 30 settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: SANTANIELLO 


Il segretario generale: BUTTARELLI 
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PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati sensibili da parte di diverse categorie di titolari. (Autorizzazione 
n. 5/2004). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente,sdel prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codicedh»materia di protezione dei 
dati personali; 


Visto, in particolare, l’art. 4, comma 1, lett. d) del citato Codice, il quale individua i dati 
sensibili: 


Considerato che, ai sensi dell’art. 26, comma 1, del Codiceyi soggetti privati e gli enti pubblici 
economici possono trattare i dati sensibili solo previa autorizzazione di questa Autorità e, ove 
necessario, con il consenso scritto degli interessati, nelkosservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti; 


Considerato che il trattamento dei dati in questione può essere autorizzato dal Garante anche 
d’ufficio con provvedimenti di carattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice); 


Considerato che le autorizzazioni di, carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per prescrivere misufe. uiformi a garanzia degli interessati, rendendo altresì 
superflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento, 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadernizàil 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperienza maturata teiuto conto dei codici di deontologia e di buona condotta di cui agli 
articoli 106 e 140 del Codice; 


Ritenuto opportuno she anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi dell’art. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi, in 
relazione alla fase,di prima applicazione delle nuove disposizioni del Codice e ai lavori avviati per 
l’adozione dei codici di deontologia e di buona condotta riguardanti alcuni specifici settori presi in 
considerazione-dal presente provvedimento (articoli 111 e 140 del Codice); 


Consideratàla necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 
di danno Gdr pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
nonché-per la dignità delle persone, e in particolare, per il diritto alla protezione dei dati personali 
sancito“all’art. 1 del Codice; 


Considerato che un elevato numero di trattamenti di dati sensibili è effettuato da parte di soggetti 
operanti in diversi settori di attività economiche di seguito individuate; 
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Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione»della 
disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati: 


Visti gli articoli 31 e seguenti del Codice e il disciplinare tecnico di cui all’Allègato B) al 
medesimo Codice recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 
Visti gli atti d’ufficio; 


Viste le osservazioni dell'Ufficio formulate dal segretario generalestai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore il prof. Gaetano Rasi; 
Autorizza 


il trattamento dei dati sensibili di cui all'art. 4, comma, lett. d), del Codice, fatta eccezione dei 
dati idonei a rivelare la vita sessuale, secondo le prescrizioni/di seguito indicate. 


Prima di iniziare o proseguire il trattamento i sistémi informativi e i programmi informatici sono 
configurati riducendo al minimo l’utilizzazione di dati'personali e di dati identificativi, in modo da 
escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate 
mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di necessità, in conformità all’art. 3 del Codice. 


Capo I 


ATTIVITÀ BANCARIE, CREDITIZIE, ASSICURATIVE, DI GESTIONE DI FONDI, DEL SETTORE TURISTICO, DEL 
TRASPORTO 


1) Soggetti ai quali è rilasciata l'autorizzazione: 


a) Imprese autorizzate.all’esercizio dell'attività bancaria e creditizia o assicurativa ed organismi 
che le riuniscono-anche se in stato di liquidazione coatta amministrativa, 


b) società ed altri»sorganismi che gestiscono fondi-pensione o di assistenza, ovvero fondi o 
casse di previdenza; 


c) società ed altri organismi di intermediazione finanziaria, in particolare per la gestione o 
l’intermédiazione di fondi comuni di investimento o di valori mobiliari; 


d) sociètà ed altri organismi che emettono carte di credito o altri mezzi di pagamento, o che ne 
gestiscono le relative operazioni; 


e) Imprese che svolgono autonome attività strettamente connesse e strumentali a quelle 
indicate nelle precedenti lettere, e relative alla rilevazione dei rischi, al recupero dei crediti, 


__ 42 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


a lavorazioni massive di documenti, alla trasmissione dati, all'imbustamento o allo 
smistamento della corrispondenza, nonché alla gestione di esattorie o tesorerie; 


f) imprese che operano nel settore turistico o alberghiero o del trasporto, agenzie di*viazgio e 
operatori turistici. 


2) l'inalità del trattamento. 


La presente autorizzazione è rilasciata, anche senza richiesta, limitatamente ai dati e alle 
operazioni indispensabili per adempiere agli obblighi anche precontrattuali che soggetti di cui al 
punto 1) assumono, nel proprio settore di attività, al fine di fornire specifici, beni, prestazioni o 
servizi richiesti dall’interessato. 


L'autorizzazione è rilasciata anche per adempiere o per esigeresl'adempimento ad obblighi 
previsti, anche in materia fiscale e contabile, dalla normativa teomunitaria, dalla legge, dai 
regolamenti, o dai contratti collettivi, o prescritti da autorità od organi)di vigilanza o di controllo nei 
casi indicati dalla legge o dai recolamenti. 


Il trattamento avente tali finalità può riguardare anche la/enùta di registri e scritture contabili, di 
elenchi, di indirizzari e di altri documenti necessari per.espletare compiti di organizzazione o di 
gestione amministrativa di imprese, società, cooperative, consorzi. 


3) Interessati ai quali i dati si riferiscono e categorie di dati trattati. 


Il trattamento può riguardare i dati sensibili (attinenti ai soggetti al quali sono forniti i beni, le 
prestazioni o i servizi, in misura strettamente pertinente a quanto specificamente richiesto 
dall'interessato che, ove necessario, abbia manifestato il proprio consenso scritto ed informato. Nei 
medesimi limiti, è possibile trattare dati rélativi a terzi, allorché non sia altrimenti possibile 
procedere alla fornitura al beneficiario deitbehi, delle prestazioni o dei servizi. 


Qualora il consenso sia richiesto nenconfronti di distinti titolari di trattamenti, la manifestazione 
di volontà deve riferirsi specificamente a ciascuno di essi. 


4) Comunicazione e diffusione dei dati. 


I dati sensibili possono essere comunicati, nei limiti strettamente pertinenti al perseguimento 
delle finalità di cui al punto@), a soggetti pubblici o privati, ivi compresi fondi e casse di previdenza 
ed assistenza o società‘controllate e collegate ai sensi dell’art. 2359 del codice civile, nonché, ove 
necessario, ai familiari.dell’interessato. 


I titolari del/trattamento, anche ai fini dell'eventuale comunicazione ad altri titolari delle 
modifiche apportate ai dati in accoglimento di una richiesta dell'interessato (art. 7, comma 3, lett. c), 
del Codice), dèvono conservare un elenco dei destinatari delle comunicazioni effettuate, recante 
un'annotazione delle specifiche categorie di dati comunicati. 


I dati..sensibili non possono essere diffusi. 
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Capo II 


SONDAGGI E RICERCHE 


1) Soggetti ai quali è rilasciata l'autorizzazione e finalità del trattamento. 


Imprese, società, istituti ed altri organismi o soggetti privati, ai soli fini del compimento di 
sondaggi di opinione, di ricerche di mercato o di altre ricerche campionarie. 


Il sondaggio o la ricerca devono essere effettuati per scopi puntualmente determinati e legittimi, 
noti all'interessato. 


2) Interessati ai quali i dati si riferiscono e categorie di dati trattati. 

Il trattamento può riguardare i dati attinenti ai soggetti che ‘abbiano manifestato il proprio 
consenso informato e che abbiano risposto a questionari o ad interviste effettuate nell'ambito di 
sondaggi di opinione, di ricerche di mercato o di altre ricerche campionarie. 


Il consenso deve essere manifestato in ogni caso per iscritto. 


I dati personali di natura sensibile possono essere trattati solo se il trattamento di dati anonimi 
non permette al sondaggio o alla ricerca di raggiungere, i suoi scopi. 


3) Conservazione dei dati. 


Il trattamento successivo alla raccolta non deve permettere di identificare gli interessati, neanche 
indirettamente, mediante un riferimento ad una qualsiasi altra informazione. 


I dati personali, individuali o aggregati, devono essere distrutti o resi anonimi subito dopo la 
raccolta, e comunque non oltre la fase contestuale alla registrazione dei campioni raccolti. La 
registrazione deve essere effettuata sénza ritardo anche nel caso in cui i campioni siano stati raccolti 
in numero elevato. 


Entro tale ambito temporale, ‘resta ferma la possibilità per il titolare della raccolta, nonché per i 
suoi responsabili o incaricati, di utilizzare 1 dati personali al fine di verificare presso gli interessati 
la veridicità o l'esattezza dei\Campioni. 

4) Comunicazione deixdati. 
I dati sensibili rion possono essere né comunicati, né diffusi. 
1 campioni, del sondaggio o della ricerca possono essere comunicati o diffusi in forma 


individuale é ‘aggregata, sempreché non possano essere associati, anche a seguito di trattamento, ad 
interessati identificati o identificabili. 
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Capo III 
ATTIVITÀ DI ELABORAZIONE DI DATI 
1) Soggetti ai quali è rilasciata l'autorizzazione. 

Imprese, società, istituti ed altri organismi o soggetti privati, titolari autonomi di un'attività svolta 
nell'interesse di altri soggetti, e che presuppone l'elaborazione di dati ed altre operazioni di 
trattamento eseguite in materia di lavoro ovvero a fini contabili, retributivi, previdenziali, 
assistenziali e fiscali. 

2) Prescrizioni applicabili. 

Il trattamento è regolato dalle autorizzazioni: 

a) n. 1/2004, rilasciata il 30 giugno 2004, concernente il trattamento dei dati sensibili a cura, in 
particolare, delle parti di un rapporto di lavoro qualora=te finalità perseguite siano quelle 
indicate al punto 3) di tale autorizzazione; 

b) n. 4/2004, rilasciata il 30 giugno 2004, riguardante»il trattamento dei dati sensibili ad opera 
dei liberi professionisti e di altri soggetti equiparati, qualora le finalità perseguite siano 


quelle indicate al punto 3) di tale autorizzazione. 


Qualora il consenso sia richiesto nei confronti-di distinti titolari di trattamenti, la manifestazione 
di volontà deve riferirsi specificamente a ciascuno.di essi. 


Capo IV 


ATTIVITADI SELEZIONE DEL PERSONALE 


1) Soggetti ai quali è rilasciata l'autorizzazione e finalità del trattamento. 


La presente autorizzazione è, rilasciata, anche senza richiesta, alle imprese, alle società, agli 
istituti e agli altri organismi © seggetti privati, titolari autonomi di attività svolta anche di propria 
iniziativa nell’interesse di terzi, ai soli fini della ricerca o della selezione del personale. 


2) Interessati ai quali i dati)si riferiscono e categorie di dati trattati. 


Il trattamento può riguardare i dati idonei a rivelare lo stato di salute e l'origine razziale ed etnica 
dei candidati all'instaùrazione di un rapporto di lavoro o di collaborazione, solo se la loro raccolta è 
giustificata da scopi determinati e legittimi ed è strettamente indispensabile per instaurare tale 
rapporto. 


Il trattamento dei dati idonei a rivelare lo stato di salute dei familiari o dei conviventi dei 
candidati..._è consentito con il consenso scritto degli interessati e qualora sia finalizzato al 
riconoscimento di uno specifico beneficio in favore dei candidati, in particolare ai fini di 
un'assunzione obbligatoria o del riconoscimento di un titolo derivante da invalidità o infermità, da 
eventi bellici o da ragioni di servizio. 
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Qualora il consenso sia richiesto nei confronti di distinti titolari di trattamenti, la manifestazione 
di volontà deve riferirsi specificamente a ciascuno di essi. 


Tl trattamento deve riguardare le sole informazioni strettamente pertinenti a tale finàhtà, sia in 
caso di risposta a questionari inviati anche per via telematica, sia nel caso in cui»i candidati 
forniscano dati di propria iniziativa, in particolare attraverso l'invio di curricula. 

Non è consentito il trattamento dei dati: 

a) idonei a rivelare le convinzioni religiose, filosofiche o di altro generè,Te opinioni politiche, 
l’adesione a partiti, sindacati, associazioni a carattere religiosoxyfilosofico, politico 0 


sindacale, l'origine razziale ed etnica, e la vita sessuale, 


b) inerenti a fatti non rilevanti ai fini della valutazione dell'attitudine professionale del 
lavoratore; 


c) inviolazione delle norme in materia di pari opportunità o\volte a prevenire discriminazioni. 
3) Comunicazione e diffusione dei dati. 

I dati idonei a rivelare lo stato di salute e l’origine razziale ed etnica possono essere comunicati 
nei limiti strettamente pertinenti al perseguimento dellé finalità di cui ai punti 1) e 2), a soggetti 
pubblici o privati che siano specificamente. menzionati nella dichiarazione di consenso 
dell'interessato. 

I dati sensibili non possono essere diffusi. 

4) Norme finali. 
Restano fermi gli ulteriori obbliglhiisprevisti dalla legge e dai regolamenti. 
Capo V 
MEDIAZIONE A FINI MATRIMONIALI 
1) Soggetti ai quali è rildseiàta l'autorizzazione. 

La presente autorizzazione è rilasciata alle imprese, alle società, agli istituti e agli altri organismi 
o soggetti privati 6he esercitano, anche attraverso agenzie autorizzate, un'attività di mediazione a 
fini matrimoniali-o.di instaurazione di un rapporto di convivenza. 


2) Finalità del trattamento. 


L'autorizzazione è rilasciata ai soli fini dell'esecuzione dei singoli incarichi conferiti in 
conformità alle leggi e ai regolamenti. 


3) Ahteressati ai quali i dati si riferiscono. 


Il trattamento può riguardare i soli dati sensibili attinenti alle persone direttamente interessate al 
matrimonio o alla convivenza. 
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Non è consentito il trattamento di dati relativo a persone minori di età in base all'ordinamente“del 
Paese di appartenenza o, comunque, in base alla legge italiana. 


4) Categorie di dati oggetto di trattamento. 

Il trattamento può riguardare i soli dati e le sole operazioni che risultino indispensabili in 
relazione allo specifico profilo o alla personalità descritto o richiesto dalle persone“interessate al 
matrimonio o alla convivenza. 


I dati devono essere forniti personalmente dai medesimi interessati. 


L'informativa preliminare al consenso scritto deve porre in particolaré evidenza le categorie di 
dati trattati e le modalità della loro comunicazione a terzi. 


3) Comunicazione dei dati. 


I dati possono essere comunicati nei limiti strettamente pertinenti all’esecuzione degli specifici 
incarichi ricevuti. 


I titolari del trattamento, anche ai fini dell'eventuale comunicazione ad altri titolari delle 
modifiche apportate ai dati in accoglimento di una richiestadell'interessato (art. 7, comma 3, lett. c), 
del Codice), devono conservare un elenco dei destinatari delle comunicazioni effettuate, recante 
un'annotazione delle specifiche categorie di dati comunicati. 


L'eventuale diffusione anche per via telematica di taluni dati sensibili deve essere oggetto di 
apposita autorizzazione di questa Autorità. 


6) Norme finali. 

Restano fermi gli ulteriori obblighiyprevisti dalla legge e dai regolamenti, in particolare 
nell'ambito della legge penale e della disciplina di pubblica sicurezza, nonché in materia di tutela 
dei minori. 

Capo VI 


PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI 


Per quanto non previste dai capi che precedono, ai trattamenti ivi indicati si applicano, altresi, le 
seguenti prescrizioni: 


1) Dati idonei*a rivelare lo stato di salute. 


Il trattamentodei dati idonei a rivelare lo stato di salute deve essere effettuato anche nel rispetto 
dell’autorizzàzione n. 2/2004, rilasciata il 30 giugno 2004. 


Il trattamento dei dati genetici non è consentito nei casi previsti dalla presente autorizzazione. 
2) Modalità di trattamento. 

Fermi restando gli obblighi previsti dagli articoli 11 e 14 del Codice, dagli articoli 31 e seguenti 
del Codice e dall’ Allegato B) al Codice. il trattamento dei dati sensibili deve essere effettuato 


unicamente con operazioni, nonché con logiche e mediante forme di organizzazione dei dati 
strettamente indispensabili in rapporto alle finalità indicate nei capi che precedono. 
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La comunicazione di dati all’interessato deve avvenire di regola direttamente a quest’ultimoèoa 
un suo delegato (fermo restando quanto previsto dall’art. 84, comma 1, del Codice), in plico ehiùso 
o con altro mezzo idoneo a prevenire la conoscenza da parte di soggetti non autorizzati, \anche 
attraverso la previsione di distanze di cortesia. 


Resta inoltre fermo l'obbligo di informare l’interessato, ai sensi dell’art. 13, commi,ty 4 e 5 del 
Codice, anche quando i dati sono raccolti presso terzi. 


3) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett, è) del Codice, i dati 
sensibili possono essere conservati per un periodo non superiore a quello Necessario per perseguire 
le finalità ovvero per adempiere agli obblighi o agli incarichi menzionatisnei precedenti capi. A tal 
fine, anche mediante controlli periodici, deve essere verificata costantemente la stretta pertinenza, 
non eccedenza e indispensabilità dei dati rispetto al rapporto, alla prestazione o all’incarico in corso, 
da instaurare o cessati, anche con riferimento ai dati che l’interessato fornisce di propria iniziativa. I 
dati che, anche a seguito delle verifiche, risultano eccedenti o non pertinenti o non indispensabili 
non possono essere utilizzati, salvo che per l’eventuale conservazione, a norma di legge, dell’atto o 
del documento che li contiene. Specifica attenzione è prestata per l’indispensabilità dei dati riferiti a 
soggetti diversi da quelli cui si riferiscono direttamente le prestazioni e gli adempimenti. 


Restano fermi i diversi termini di conservazione previsti dalle leggi o dai regolamenti. 
Resta altresì fermo quanto previsto nel capo II in materia di sondaggi e di ricerche. 
4) Richieste di autorizzazione. 

I titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione 
non sono tenuti a presentare una richiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende effettuare sia conforme allé prescrizioni suddette. 

Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla data di 
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 

Il Garante non prenderà in considerazione richieste di autorizzazione per trattamenti da 
effettuarsi in difformità alleprescrizioni del presente provvedimento, salvo che, ai sensi dell’art. 41 


del Codice, il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione. 


_ 484 — 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


5) Norme finali. 


Restano fermi gli obblighi previsti da norme di legge o di regolamento dalla normativa 


comunitaria, che stabiliscono divieti o limiti più restrittivi in materia di trattamento di dati personali 
e, in particolare: 


a) dalla legge 20 maggio 1970, n. 300; 


b) dalla legge 5 giugno 1990, n. 135; 


Restano altresì fermi gli obblighi di legge che vietano la rivelazione»senza giusta causa e 
l'impiego a proprio o altrui profitto delle notizie coperte dal segreto professionale, nonché gli 


obblighi deontologici, previsti anche dai codici deontologici e di buona condotta adottati in 
attuazione dell’art. 12 del Codice. 


Resta ferma, infine, la possibilità di diffondere dati anonimi anche.aggregati. 
6) Efficacia temporale e disciplina transitoria. 
La presente autorizzazione ha efficacia a decorrere dal 1° luiglio 2004 fino al 30 giugno 2005. 


Qualora alla data della pubblicazione della presente ‘\aùtorizzazione il trattamento non sia già 
conforme alle prescrizioni non contenute nella precedente autorizzazione n. 5/2002, il titolare deve 
adeguarsi ad esse entro il 30 settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Ilpresidente: RODOTÀ 
Il relatore: RASI 


Yl segretario generale: BUTTARELLI 
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PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati sensibili da parte degli investigatori privati. (Autorizzazione n. 672004). 


IL GARANTE PERLA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, deh.prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in'materia di protezione dei 
dati personali; 


Visto, in particolare, l'art. 4, comma I, lett. d), del citato Codice, il quale individua i dati 
sensibili; 


Considerato che, ai sensi dell’art. 26, comma 1, del Codice,\Ysoggetti privati e gli enti pubblici 
economici possono trattare i dati sensibili solo previa autorizzazione di questa Autorità e, ove 
necessario, con il consenso scritto degli interessati, nell'òsservanza dei presupposti e dei limiti 
stabiliti dal Codice, nonché dalla legge e dai regolamenti‘ 


Visto il comma 4, lett. c), del medesimo art. 26.11 quale stabilisce che i dati sensibili possono 
essere oggetto di trattamento anche senza consens@=previa autorizzazione del Garante, quando il 
trattamento medesimo è necessario per svolgere(ufta investigazione difensiva ai sensi della legge 7 
dicembre 2000, n. 397 o, comunque, per far valere o difendere in sede giudiziaria un diritto, sempre 
che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro 
perseguimento, e che, quando i dati siano idonei a rivelare lo stato di salute e la vita sessuale 
dell’interessato il diritto sia di rango paria quello dell’interessato, ovvero consista in un diritto della 
personalità o in un altro diritto o libertà fondamentale inviolabile; 


Considerato che il trattamentodei dati in questione può essere autorizzato dal Garante anche 
d'ufficio con provvedimenti di carattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice); 


Considerato che le autòfizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per presèrivere misure uniformi a garanzia degli interessati, rendendo altresi 
superflua la richiesta di singoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione di quélle in scadenza il 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperiefiza maturata; 


Ritenute-opportuno che anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi*dell’art. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesi, in 
relazione alla fase di prima applicazione delle nuove disposizioni del Codice e ai lavori avviati per 
l’adozione del codice di deontologia e buona condotta di cui all’art. 135 del Codice; 
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Considerata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 
di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentàli, 
nonché per la dignità delle persone, e, in particolare, per il diritto alla protezione dei dati personali 
sancito all’art. 1 del Codice; 


Considerato che il Garante ha rilasciato un’autorizzazione di ordine generale relativa ai dati 
idonei a rivelare lo stato di salute e la vita sessuale (n. 2/2004, rilasciata il 30 giugnò2004), anche 
in riferimento alle predette finalità di ordine giudiziario; 


Considerato che numerosi trattamenti aventi tali finalità sono etffettuati.’con l’ausilio di 
investigatori privati, e che è pertanto opportuno integrare anche le prescrizioni dell’autorizzazione 
n. 2/2004 mediante un ulteriore provvedimento di ordine generale che tenga conto dello specifico 
contesto dell’investigazione privata, anche al fine di armonizzare le preserizioni da impartire alla 
categoria; 

Considerato che ulteriori misure ed accorgimenti saranno préscritti dal Garante all’atto della 
sottoscrizione del citato codice di deontologia e di buona condotta.in via di emanazione (art. 12 del 
Codice); 

Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della 
disciplina rilevante in materia di trattamento di dati personali non possono essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice € îl disciplinare tecnico di cui all’ Allegato B)al 
medesimo Codice recanti norme e regole sulle misure di sicurezza; 


Visti gli articoli 42 e seguenti del Codice in materia di trasferimento di dati personali all’estero; 
Visto l’art. 41 del Codice; 
Visti gli atti d’ufficio; 


Viste le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore il Prof. Gaetano Rasi, 
Autorizza 


gli investigatéri privati a trattare i dati sensibili di cui all’art. 4, comma 1, lett. d), del Codice, 
secondo le prescrizioni di seguito indicate. 


Prima di-iniziare o proseguire il trattamento i sistemi informativi e i programmi informatici sono 
configurati fiducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da 
escluderne, il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate 
mediante) rispettivamente, dati anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di necessità, in conformità all’art. 3 del Codice. 
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1) Ambito di applicazione. 


La presente autorizzazione è rilasciata, anche senza richiesta, alle persone fisiche e giuridiche, 
agli istituti, agli enti, alle associazioni e agli organismi che esercitano un’attività di investigazione 
privata autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1934xn. 773, e 
successive modificazioni e integrazioni). 


2) Finalità del trattamento. 


Il trattamento può essere effettuato unicamente per l’espletamento dell’imearico ricevuto dai 
soggetti di cui al punto 1) e in particolare: 


a) per permettere a chi conferisce uno specifico incarico di far valere o difendere in sede 
giudiziaria un proprio diritto, che, quando i dati siano idonei a/nivelare lo stato di salute e la 
vita sessuale dell’interessato, deve essere di rango pari a quello del soggetto al quale si 
riferiscono i dati, ovvero consistente in un diritto della petsonalità o in un altro diritto o 
libertà fondamentale ed inviolabile; 


b) su incarico di un difensore in riferimento ad unXprocedimento penale, per ricercare e 
individuare elementi a favore del relativo assistito/da utilizzare ai soli fini dell’esercizio del 
diritto alla prova (art. 190 del codice di procedura) penale e legge 7 dicembre 2000, n. 397). 
Restano ferme le altre autorizzazioni generali ilasciate ai fini dello svolgimento delle 
investigazioni in relazione ad un procedimento. penale o per l'esercizio di un diritto in sede 
giudiziaria, in particolare: 


a) nell’ambito dei rapporti di lavoro (autorizzazione n. 1/2004, rilasciata il 30 giugno 2004); 


b) relativamente ai dati idonei a rivelare lo stato di salute e la vita sessuale (autorizzazione n. 
2/2004, rilasciata il 30 giugno 2004); 


c) da parte degli organismi ditipo associativo e delle fondazioni (autorizzazione n. 3/2004, 
rilasciata il 30 giugno 2004); 


d) da parte dei liberi professionisti iscritti in albi o elenchi professionali, ivi inclusi i difensori e 
i relativi sostituti edeausiliari (autorizzazione n. 4/2004, rilasciata il 30 giugno 2004); 


e) relativamente ai dati di carattere giudiziario (autorizzazione n. 7/2004, rilasciata il 30 giugno 
2004). 


3) Categorie di dati e interessati ai quali i dati si riferiscono. 

Il trattamento\può riguardare i dati sensibili di cui all’art. 4, comma 1, lett. d) del Codice, qualora 
ciò sia strettamente indispensabile per eseguire specifici incarichi conferiti per scopi determinati e 
legittimi nell’ambito delle finalità di cui al punto 1), che non possano essere adempiute mediante il 


trattamente di dati anonimi o di dati personali di natura diversa. 


Tdati devono essere pertinenti e non eccedenti rispetto agli incarichi conferiti. 
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4) Modalità di trattamento. 


Gli investigatori privati non possono intraprendere di propria iniziativa investigazioni, ricerche o 
altre forme di raccolta di dati. Tali attività possono essere eseguite esclusivamente sulla base di un 
apposito incarico conferito per iscritto, anche da un difensore, per le esclusive finalità. di cui al 
punto 2). 


L’atto di incarico deve menzionare in maniera specifica il diritto che si intendé.èsercitare in sede 
giudiziaria, ovvero il procedimento penale al quale l’investigazione è collegata, nonché i principali 
elementi di fatto che giustificano l’investigazione e il termine ragionevole entro cui questa deve 
essere conclusa. 


Fermi restando gli obblighi previsti dagli articoli 11 e 14 del Codice, nonché dagli articoli 31 e 
seguenti del Codice e dall’ Allegato B) al medesimo Codice, il trattamento dei dati sensibili deve 
essere effettuato unicamente con operazioni, nonché con logiche e mediante forme di 
organizzazione dei dati strettamente indispensabili in rapporto alle finalità di cui al punto 2). 


L'interessato o la persona presso la quale sono raccolti/i»ndati deve essere informata ai sensi 
dell’art. 13 del Codice, ponendo in particolare evidenza, l’identità e la qualità professionale 
dell’investigatore, nonché la natura facoltativa del conferimento dei dati. 


Nel caso in cui i dati sono raccolti presso terzi, è necessario informare l’interessato e acquisire il 
suo consenso scritto (art. 13, commi 1, 4 e 5 e art=-26; comma 4, del Codice), solo se i dati sono 
trattati per un periodo superiore a quello strettamente necessario per esercitare il diritto in sede 
giudiziaria o per svolgere le investigazioni difensive, oppure se i dati sono utilizzati per ulteriori 
finalità non incompatibili con quelle precedentemente perseguite. 


Il difensore o il soggetto che ha conferito l’incarico devono essere informati periodicamente 
dell’andamento dell’investigazione, anche) al fine di permettere loro una valutazione tempestiva 
circa le determinazioni da adottare riguardo all’esercizio del diritto in sede giudiziaria o al diritto 
alla prova. 


L’investigatore privato deve“4esèguire personalmente l’incarico ricevuto e non può avvalersi di 
altri investigatori non indicati (nominativamente all’atto del conferimento dell’incarico. 


Nel caso in cui si avvalga di collaboratori interni designati quali responsabili o incaricati del 
trattamento in conformità.a/quanto previsto dagli articoli 29 e 30 del Codice, l’investigatore privato 
deve vigilare con cadenza almeno settimanale sulla puntuale osservanza delle norme di legge e delle 
istruzioni impartite Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla 
collaborazione ad/essrrichiesta. 


Per quantonòn previsto nella presente autorizzazione, il trattamento dei dati idonei a rivelare lo 
stato di salute”e la vita sessuale deve essere effettuato nel rispetto delle ulteriori prescrizioni 
contenute nell’ autorizzazione generale n. 2/2004 e, allorché rilasciata, in quella prevista dall’art. 90 
del Codige..in particolare per ciò che riguarda le informazioni relative ai nascituri e ai dati genetici. 


Iltrattamento dei dati deve inoltre rispettare le prescrizioni del codice di deontologia e di buona 
condotta di cui all’articolo 135 del Codice in via di definizione. 
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3) Conservazione dei dati. 


Nel quadro del rispetto dell’obbligo previsto dall’art. 11, comma 1, lett. e), del Codicebi dati 
sensibili possono essere conservati per un periodo non superiore a quello strettamente necessario 
per eseguire l’incarico ricevuto. 


A tal fine deve essere verificata costantemente, anche mediante controlli periodici, la stretta 
pertinenza, non eccedenza e indispensabilità dei dati rispetto alle finalità perseguite e all’incarico 
conferito. 


Una volta conclusa la specifica attività investigativa, il trattamento deve cessare in ogni sua 
forma, fatta eccezione per l’immediata comunicazione al difensore o al ‘soggetto che ha conferito 
l’incarico. 


La mera pendenza del procedimento al quale l’investigazione è collegata, ovvero il passaggio ad 
altre fasi di giudizio in attesa della formazione del giudicato, non costituiscono, di per se stessi, una 
giustificazione valida per la conservazione dei dati da parte dell’investigatore privato. 


6) Comunicazione e diffusione dei dati. 
I dati possono essere comunicati unicamente al soggetto che ha conferito l’incarico. 


I dati non possono essere comunicati ad un altro-investigatore privato, salvo che questi sia stato 
indicato nominativamente nell’atto di incarico e lè comunicazione sia necessaria per lo svolgimento 
dei compiti affidati. 


1 dati idonei a rivelare lo stato di salute possono essere comunicati alle autorità competenti solo 
se è necessario per finalità di prevenzione, accertamento o repressione dei reati, con l'osservanza 
delle norme che regolano la materia. 


I dati relativi allo stato di salute e alla vita sessuale non possono essere diffusi. 
7) Richieste di autorizzazione. 


1 titolari dei trattamenti che rientrano nell’ambito di applicazione della presente autorizzazione 
non sono tenuti a presentareuna richiesta di autorizzazione a questa Autorità, qualora il trattamento 
che si intende effettuare ‘sia/conforme alle prescrizioni suddette. 


Le richieste di aùtohizzazione pervenute o che perverranno anche successivamente alla data di 
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 


Il Garantè&non prenderà in considerazione richieste di autorizzazione per trattamenti da 
effettuarsi ‘in“difformità alle prescrizioni del presente provvedimento, salvo che, ai sensi dell’art. 41 
del Codige,il loro accoglimento sia giustificato da circostanze del tutto particolari o da situazioni 
eccezionali non considerate nella presente autorizzazione. 
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8) Norme finali. 


Restano fermi gli obblighi previsti dalla normativa comunitaria, ovvero da norme di legge o di 
regolamento, che stabiliscono divieti o limiti in materia di trattamento di dati personali e, in 
particolare: 


a) dagli articoli 4 (impianti e apparecchiature per finalità di controllo a distanzadei lavoratori) 
e 8 (indagini sulle opinioni del lavoratore o su altri fatti non rilevanti ai fini della valutazione 
dell’attitudine professionale) della legge 20 maggio 1970, n. 300 e*dall’art. 10 (indagini 
sulle opinioni del lavoratore e trattamenti discriminatori) del d.lg. 10 settembre 2003, n. 276; 


b) dalla legge 5 giugno 1990, n. 135, in materia di sieropositività e .diMnfezione da HIV; 
c) dalle norme processuali o volte a prevenire discriminazioni; 


d) dall’art. 734-bis del Codice penale, il quale vieta la divulgazione non consensuale delle 
generalità o dell’immagine della persona offesa da atti/di violenza sessuale. 


Restano fermi, in particolare, gli obblighi previsti in tema di liceità e di correttezza nell’uso di 
strumenti o apparecchiature che permettono la raccoltaàSdi informazioni anche sonore o visive, 
ovvero in tema di accesso a banche dati o di cognizione del contenuto della corrispondenza e di 
comunicazioni o conversazioni telefoniche, telematiché,0 tra soggetti presenti. 


Resta ferma la facoltà per le persone fisiche di.tràttare direttamente dati per l’esclusivo fine della 
tutela di un proprio diritto in sede giudiziaria, anche nell’ambito delle investigazioni relative ad un 
procedimento penale. In tali casi, il Codice non si applica anche se i dati sono comunicati 
occasionalmente ad una autorità giudiziaria © a terzi, sempre che i dati non siano destinati ad una 
comunicazione sistematica o alla diffusione, (art. 5, comma 3, del Codice). 


9) Efficacia temporale e disciplina transitoria. 
La presente autorizzazione hasefficacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 
Qualora alla data della pubblicazione della presente autorizzazione il trattamento non sia già 
conforme alle prescrizioni.non contenute nella precedente autorizzazione n. 6/2002, il titolare deve 


adeguarsi ad esse entro 1il°30/settembre 2004. 


La presente autorizzazione sarà pubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: RASI 


Il segretario generale: BUTTARELLI 


— 55 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


PROVVEDIMENTO 30 giugno 2004. 


Autorizzazione al trattamento dei dati a carattere giudiziario da parte di privati, di enti pubblici economici e di 
soggetti pubblici. (Autorizzazione n. 7/2004). 


IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI 


In data odierna, con la partecipazione del prof. Stefano Rodotà, presidente, del prof. Giuseppe 
Santaniello, vicepresidente, del prof. Gaetano Rasi e del dott. Mauro Paissan, componenti e del dott. 
Giovanni Buttarelli, segretario generale; 


Visto il decreto legislativo 30 giugno 2003, n. 196, recante il Codice if materia di protezione dei 
dati personali; 


Visto l’art. 4, comma 1, lett. e), del Codice, il quale individua i datisgiudiziari; 


Visti, in particolare, gli articoli 21, comma 1, e 27 del Codice»che consentono il trattamento di 
dati giudiziari, rispettivamente, da parte di soggetti pubblici’ e di privati o di enti pubblici 
economici, soltanto se autorizzato da espressa disposizioné=di legge o provvedimento del Garante 
che specifichino le finalità di rilevante interesse pubblic@)del trattamento, i tipi di dati trattati e le 
precise operazioni eseguibili; 


Visti gli articoli 20, commi 2 e 4, e le disposizioni.relative a specifici settori di cui alla Parte II, 
del Codice e, in particolare, i Capi III e TV del TitòloTV, nel quale sono indicate finalità di rilevante 
interesse pubblico che rendono ammissibile il trattamento di dati giudiziari da parte di soggetti 
pubblici; 


Visto l’art. 22 del Codice, il quale prevedè i principi applicabili al trattamento di dati sensibili e 
giudiziari da parte di soggetti pubblici; 


Considerato che il trattamento dei “dati in questione può essere autorizzato dal Garante anche 
d’ufficio con provvedimenti di carattere generale, relativi a determinate categorie di titolari o di 
trattamenti (art. 40 del Codice), 


Considerato che le autorizzazioni di carattere generale sinora rilasciate sono risultate uno 
strumento idoneo per preSèrivere misure uniformi a garanzia degli interessati, rendendo altresì 
superflua la richiesta di sifigoli provvedimenti di autorizzazione da parte di numerosi titolari del 
trattamento; 


Ritenuto opportuno, dopo l’entrata in vigore del Codice, rilasciare nuove autorizzazioni in 
sostituzione di quelle in scadenza il 30 giugno 2004, armonizzando le prescrizioni già impartite alla 
luce dell’esperienza maturata; 


Visti gli articoli 51 e 52 del Codice in materia di informatica giuridica e ritenuta la necessità di 
favorire«la\prosecuzione dell’attività di documentazione, studio e ricerca in campo giuridico, in 
particelare per quanto riguarda la diffusione di dati relativi a precedenti giurisprudenziali, in ragione 
anche \dell’affinità che tali attività presentano con quelle di manifestazione del pensiero già 
disciplinate dall’art. 137 del Codice; 
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Ritenuto opportuno che anche tali nuove autorizzazioni siano provvisorie e a tempo determinato 
ai sensi dell’art. 41, comma 5, del Codice, e, in particolare, efficaci per il periodo di dodici mesipin 
relazione alla fase di prima applicazione delle nuove disposizioni del Codice; 

Considerata la necessità di garantire il rispetto di alcuni principi volti a ridurre al minimo i rischi 
di danno o di pericolo che i trattamenti potrebbero comportare per i diritti e le libertà fondamentali, 
nonché per la dignità delle persone, e, in particolare, per il diritto alla protezione dei*dati personali 
sancito all’art. 1 del Codice; 

Visto l’art. 167 del Codice; 


Visto l’art. 11, comma 2, del Codice, il quale stabilisce che i dati trattati in violazione della 
disciplina rilevante in materia di trattamento di dati personali non possono“essere utilizzati; 


Visti gli articoli 31 e seguenti del Codice e il disciplinare techico di cui all’ Allegato B)al 
medesimo Codice recanti norme e regole sulle misure di sicurezza; 


Visto l’art. 41 del Codice; 
Visti gli atti d’ufficio; 


Viste le osservazioni dell'Ufficio formulate dal segretario generale ai sensi dell’art. 15 del 
regolamento del Garante n. 1/2000; 


Relatore 1l prof. Giuseppe Santaniello; 
Autorizza 


i trattamenti di dati giudiziari per le finalità,di rilevante interesse pubblico di seguito specificate ai 
sensi degli articoli 21 e 27 del Codice,,sè6ondo le prescrizioni di seguito indicate. 


Prima di iniziare o proseguire il-trattamento i sistemi informativi e i programmi informatici sono 
configurati riducendo al minimo4btilizzazione di dati personali e di dati identificativi, in modo da 
escluderne il trattamento quando-le finalità perseguite nei singoli casi possono essere realizzate 
mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare 
l’interessato solo in caso di.necessità, in conformità all’art. 3 del Codice. 

Capo I 
RAPPORTI DI LAVORO 


1) Ambito di applicazione e finalità del trattamento. 


L'autorizzazione è rilasciata, anche senza richiesta, a persone fisiche e giuridiche, enti, 
associazioni ed organismi che: 


à) sono parte di un rapporto di lavoro; 


b) utilizzano prestazioni lavorative anche atipiche, parziali o temporanee; 


14-8-2004 Supplemento ordinario alla GAZZETTA UFFICIALE Serie generale - n. 190 


c) conferiscono un incarico professionale a consulenti, liberi professionisti, agénti, 
rappresentanti e mandatari. 


Il trattamento deve essere indispensabile per adempiere o per esigere l’adempimento di specifici 
obblighi o per eseguire specifici compiti previsti da leggi, dalla normativa comunitaria, da 
regolamenti o da contratti collettivi, anche aziendali, e ai soli fini della gestione delsrapporto di 
lavoro, anche autonomo o non retribuito od onorario. 


L'autorizzazione è altresì rilasciata a soggetti che in relazione ad un’attività*di composizione di 
controversie esercitata in conformità alla legge svolgono un trattamento indispensabile al medesimo 
fine. 


2) Interessati ai quali i dati si riferiscono. 


Il trattamento può riguardare dati attinenti a soggetti che hanno assùnto o intendono assumere la 
qualità di: 
a) lavoratori dipendenti, anche se prestatori di lavoro teMpòraneo o in rapporto di tirocinio, 
apprendistato e formazione lavoro, ovvero di associati’ anche in compartecipazione o di 
titolari di borse di lavoro e di rapporti analoghi; 


b) amministratori o membri di organi esecutivi o di controllo; 


c) consulenti e liberi professionisti, agenti, rappresentanti e mandatari. 


Capo Il 
ORGANISMI DETTPO ASSOCIATIVO E FONDAZIONI 
1) Ambito di applicazione e finalità del trattamento. 
L'autorizzazione è rilasciata anche senza richiesta: 


a) ad associazioni anche mon riconosciute, ivi compresi partiti e movimenti politici, 
associazioni ed organizzazioni sindacali, patronati, associazioni a scopo assistenziale o di 
volontariato, a fondazioni, comitati e ad ogni altro ente, consorzio od organismo senza scopo 
di lucro, dotati o\meno di personalità giuridica, nonché a cooperative sociali e società di 
mutuo soccorsQdi cui, rispettivamente, alle leggi 8 novembre 1991, n. 381 e 15 aprile 1886, 
n. 3818; 


b) ad entiwed ‘associazioni anche non riconosciute che curano il patrocinio, il recupero, 
l’istruzione, la formazione professionale, l'assistenza socio-sanitaria, la beneficenza e la 
tutela*di diritti in favore dei soggetti cui si riferiscono i dati o dei relativi familiari e 
conviventi. 
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Il trattamento deve essere indispensabile per perseguire scopi determinati e legittimi individuati 
dall’atto costitutivo, dallo statuto o da un contratto collettivo. 
2) Interessati ai quali i dati si riferiscono. 
Il trattamento può riguardare dati attinenti: 
a) ad associati, soci e aderenti, nonché, nei casi in cui l’utilizzazione @dei)dati sia prevista 
dall’atto costitutivo o dallo statuto, a soggetti che presentano richiestardi ammissione o di 


adesione; 


b) abeneficiari, assistiti e fruitori delle attività o dei servizi prestati, dall'associazione, dall’ente 
o dal diverso organismo. 


Capo II 
LIBERI PROFESSIONISTI 
1) Ambito di applicazione e finalità del trattamento. 
L'autorizzazione è rilasciata anche senza richiesta\ai: 

a) liberi professionisti, anche associati, tenuti ad iscriversi in albi o elenchi per l’esercizio di 
un'attività professionale in forma individuale o associata, anche in conformità al decreto 
legislativo 2 febbraio 2001, n. 960 alle norme di attuazione dell'art. 24, comma 2, della 
legge 7 agosto 1997, n. 266, in tema di attività di assistenza e consulenza; 

b) soggetti iscritti nei corrispondenti albi o elenchi speciali, istituiti anche ai sensi dell’art. 34 
del regio decreto-legge ‘377 novembre 1933, n. 1578 e successive modificazioni e 
integrazioni, recante l’ordinàmento della professione di avvocato; 

c) sostituti e ausiliari che collaborano con il libero professionista ai sensi dell’art. 2232 del 
codice civile, praticanti e tirocinanti, qualora tali soggetti siano titolari di un autonomo 
trattamento o siafte, contitolari del trattamento effettuato dal libero professionista. 

2) Interessati ai quali dati si riferiscono. 


Tl trattamento può riguardare dati attinenti ai clienti. 


I dati relativi ai terzi possono essere trattati solo ove ciò sia strettamente indispensabile per 
eseguire specifiche prestazioni professionali richieste dai clienti per scopi determinati e legittimi. 
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Capo IV 
IMPRESE BANCARIE LD ASSICURATIVE LD ALTRI TRATTAMENTI 
1) Ambito di applicazione e finalità del trattamento. 
L’autorizzazione è rilasciata, anche senza richiesta: 


a) ad imprese autorizzate o che intendono essere autorizzate all’eserciziodell’attività bancaria 
e creditizia, assicurativa o dei fondi pensione, anche se in stato di»liquidazione coatta 
amministrativa, ai fini: 


1) dell’accertamento, nei casi previsti dalle leggi e dai regolamenti, del requisito di 
onorabilità nei confronti di soci e titolari di cariche direttive o elettive; 


2) dell’accertamento, nei soli casi espressamente previsti dalla legge, di requisiti 
soggettivi e di presupposti interdittivi; 


3) dell’accertamento di responsabilità in relazione a sinistri o eventi attinenti alla vita 
umana; 


4) dell’accertamento di situazioni di /goncreto rischio per il corretto esercizio 
dell’attività assicurativa, in relazioneVad illeciti direttamente connessi con la 
medesima attività. Per questi ultimi casi, limitatamente ai trattamenti di dati registrati 
in una specifica banca di dati ai sensi dell’art. 4, comma 1, lett. p), del Codice, il 
titolare deve inviare al Garante una dettagliata relazione sulle modalità del 
trattamento; 


b) a soggetti titolari di un trattamento di dati svolto nell’ambito di un’attività di richiesta, 
acquisizione e consegna di attise documenti presso i competenti uffici pubblici, effettuata su 
incarico degli interessati; 


c) alle società di intermediazione mobiliare, alle società di investimento a capitale variabile, e 
alle società di gestione “del risparmio e dei fondi pensione, ai fini dell’accertamento dei 
requisiti di onorabilità in applicazione della normativa in materia di intermediazione 
finanziaria e di previdenza o di forme pensionistiche complementari, e di eventuali altre 
norme di legge odi regolamento. 


2) Ulteriori trattamenti, 
L'autorizzazion@è rilasciata altresì: 


a)xa chiunque, per far valere o difendere un diritto anche da parte di un terzo in sede 
giudiziaria, nonché in sede amministrativa o nelle procedure di arbitrato e di 
conciliazione nei casi previsti dalle leggi, dalla normativa comunitaria, dai 
regolamenti o dai contratti collettivi, sempre che il diritto da far valere o difendere 
sia di rango pari a quello dell’interessato e i dati siano trattati esclusivamente per tale 
finalità e per il periodo strettamente necessario per il suo perseguimento; 
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b) a chiunque, per l'esercizio del diritto di accesso ai documenti amministrativi, hei 
limiti di quanto previsto dalle leggi e dai regolamenti in materia; 


c) a persone fisiche e giuridiche, istituti, enti ed organismi che esercitano un*attività di 
investigazione privata autorizzata con licenza prefettizia (art. 134 deleregio decreto 
18 giugno 1931, n. 773, e successive modificazioni e integrazioni). 


Il trattamento deve essere necessario: 


1) per permettere a chi conferisce uno specifico incarico di farxvalere o difendere in 
sede giudiziaria un proprio diritto di rango pari a quello del soggetto al quale si 
riferiscono i dati, ovvero di un diritto della personalità o di un altro diritto 
fondamentale ed inviolabile; 


2) su incarico di un difensore in riferimento ad un précedimento penale, per ricercare e 
individuare elementi a favore del relativo assistito da utilizzare ai soli fini 
dell’esercizio del diritto alla prova (articolo 190,del codice di procedura penale e 
legge 7 dicembre 2000, n. 397); 


d) a chiunque, per adempiere ad obblighi previsti da disposizioni di legge in materia di 
comunicazioni e certificazioni antimafia o in materia di prevenzione della 
delinquenza di tipo mafioso e di altre gravi forme di manifestazione di pericolosità 
sociale, contenute anche nella .lesge 19 marzo 1990, n. 55, e successive 
modificazioni ed integrazioni, o\pet poter produrre la documentazione prescritta 
dalla legge per partecipare a gare d’ appalto; 


e) a chiunque, ai fini dell'accertamento del requisito di idoneità morale di coloro che 


intendono partecipare a4gare d'appalto, in adempimento di quanto previsto dalla 
normativa in materia di‘appalti. 


Capo V 


DOCUMENTAZIONE GIURIDICA 


1) Ambito di applicazione e finalità del trattamento. 


L'autorizzazione, é rilasciata per il trattamento, ivi compresa la diffusione, di dati per finalità di 
documentazione, di studio e di ricerca in campo giuridico, in particolare per quanto riguarda la 
raccolta e laQdiffusione di dati relativi a pronunce giurisprudenziali, nel rispetto di quanto previsto 
dagli articoli 51 e 52 del Codice. 
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Capo VI 
PRESCRIZIONI COMUNI A TUTTI I TRATTAMENTI 


Per quanto non previsto dai capi che precedono, ai trattamenti ivi indicati si applicano, altresì, le 
seguenti prescrizioni: 


1) Dati trattati. 


Possono essere trattati i soli dati essenziali per le finalità per le quali è ammesso il trattamento € 
che non possano essere adempiute, caso per caso, mediante il trattamento di dati anonimi o di dat 
personali di natura diversa. 


2) Modalità di trattamento. 


Il trattamento dei dati deve essere effettuato unicamente con operazioni, nonché con logiche «€ 
mediante forme di organizzazione dei dati strettamente indispensabili in rapporto agli obblighi, a 
compiti o alle finalità precedentemente indicati. Fuori dei casivprevisti dai Capi IV, punto 2 e V, c 
nei quali la notizia è acquisita da fonti accessibili a chiunque, i dati devono essere forniti dagl: 
interessati nel rispetto della disciplina prevista dal d.P.R. 14 novembre 2002, n. 313. 


3) Conservazione dei dati. 


Con riferimento all'obbligo previsto dall’artà LI, comma 1, lett. e) del Codice, i dati possonc 
essere conservati per il periodo di tempo previsto da leggi o regolamenti e, comunque, per ur 
periodo non superiore a quello strettamente necessario per le finalità perseguite. 


Ai sensi dell'art. 11, comma 1, lett. c)} d) ed e) del Codice, i soggetti autorizzati verificanc 
periodicamente l'esattezza e l'aggiornamento dei dati, nonché la loro pertinenza, completezza, nor 
eccedenza e necessità rispetto alle finalità perseguite nei singoli casi. Al fine di assicurare che i dat 
siano strettamente pertinenti, non-eccedenti e indispensabili rispetto alle finalità medesime, . 
soggetti autorizzati valutano specificamente il rapporto tra i dati e i singoli obblighi, compiti « 
prestazioni. I dati che, anche(a*seguito delle verifiche, risultino eccedenti o non pertinenti o nor 
indispensabili non possono essere utilizzati, salvo che per l'eventuale conservazione, a norma d: 
legge, dell'atto o del documento che li contiene. Specifica attenzione è prestata per la verifice 
dell'essenzialità dei dativrferiti a soggetti diversi da quelli cui si riferiscono direttamente gl 
obblighi, i compiti e le-prestazioni. 


4) Comunicazione‘ diffusione. 

1 dati possono essere comunicati e, ove previsto dalla legge, diffusi, a soggetti pubblici o privati 
nei limiti strettamente indispensabili per le finalità perseguite e nel rispetto, in ogni caso, del segretc 
professionale è delle altre prescrizioni sopraindicate. 

3) Richieste di autorizzazione. 
Nitolari dei trattamenti che rientrano nell'ambito di applicazione della presente autorizzazione 


nen/sono tenuti a presentare una richiesta di autorizzazione al Garante, qualora il trattamento che s. 
intende effettuare sia conforme alle prescrizioni suddette. 
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Le richieste di autorizzazione pervenute o che perverranno anche successivamente alla*data di 
adozione del presente provvedimento, devono intendersi accolte nei termini di cui al provvedimento 
medesimo. 


Il Garante si riserva l’adozione di ogni altro provvedimento per i trattamenti rîòîi considerati 
nella presente autorizzazione. 


Per quanto riguarda invece 1 trattamenti disciplinati nel presente provvedimento, il Garante non 
prenderà in considerazione richieste di autorizzazione per trattamenti da effettuarsi in difformità alle 
relative prescrizioni, salvo che, ai sensi dell’art. 41 del Codice, il loro accoglimento sia giustificato 
da circostanze del tutto particolari o da situazioni eccezionali non Considerate nella presente 
autorizzazione. 


Restano fermi gli obblighi previsti da norme di legge o di*régolamento o dalla normativa 
comunitaria che stabiliscono divieti o limiti più restrittivi in materta/di trattamento di dati personali 
e, in particolare, dalle disposizioni contenute nell’art. 8 della legge 20 maggio 1970, n. 300, fatto 
salvo dall’art. 113 del Codice, che vieta al datore di lavoro ai fini dell’assunzione e nello 
svolgimento del rapporto di lavoro, di effettuare indaginifanche a mezzo di terzi, sulle opinioni 
politiche, religiose o sindacali del lavoratore, nonché sufatti non rilevanti ai fini della valutazione 
dell’attitudine professionale del lavoratore e dall’art. 10 del d.lg. 10 settembre 2003, n. 276, che 
vieta alle agenzie per il lavoro e agli altri soggetti‘\privati autorizzati o accreditati di effettuare 
determinate indagini o comunque trattamenti di dati-evVero di preselezione di lavoratori. 


6) Efficacia temporale e disciplina transitoria. 
La presente autorizzazione ha efficacia a decorrere dal 1° luglio 2004 fino al 30 giugno 2005. 
Qualora alla data della pubblicazione, della presente autorizzazione il trattamento non sia già 
conforme alle prescrizioni non contenute nella precedente autorizzazione n. 7/2002, il titolare deve 


adeguarsi ad esse entro il 30 settembre2004. 


La presente autorizzazione saràpubblicata nella Gazzetta Ufficiale della Repubblica italiana. 


Roma, 30 giugno 2004 
Il presidente: RODOTÀ 
Il relatore: SANTANIELLO 


Il segretario generale: BUTTARELLI 


04A08156 


GIANFRANCO TATOZZI, direttore FRANCESCO NOCITA, redattore 
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